WEB安全（一）认证和授权的区别

认证（authentication）和授权（authorization）在安全性方面相互结合使用，尤其是在获得对系统的访问权限时。但这两个词我们经常搞混，其实它们在概念上是完全不同的。

认证意味着确认您自己的身份，而授权意味着授予对系统的访问权限。

认证

身份验证是关于验证您的凭据，如用户名/用户ID和密码，以验证您的身份。系统确定您是否就是您所说的使用凭据。

根据安全级别，身份验证因素有：

• 单因素 身份验证 - 这是最简单的身份验证方法，通常依赖于简单的密码来授予用户对特定系统（如网站或网络）的访问权限。此人可以仅使用其中一个凭据请求访问系统以验证其身份。单因素身份验证的最常见示例是登录凭据，其仅需要针对用户名的密码。
• 双因素身份验证 - 顾名思义，它是一个两步验证过程，不仅需要用户名和密码，还需要用户知道的东西，以确保更高级别的安全性，例如ATM引脚，用户知道。使用用户名和密码以及额外的机密信息，欺诈者几乎不可能窃取有价值的数据。
• 多重身份验证 - 这是最先进的身份验证方法，它使用来自独立身份验证类别的两个或更多级别的安全性来授予用户对系统的访问权限。所有因素应相互独立，以消除系统中的任何漏洞。金融机构，银行和执法机构使用多因素身份验证来保护其数据和应用程序免受潜在威胁。

授权

授权决定了您访问系统的能力以及达到的程度。验证成功后，系统验证您的身份后，即可授权您访问系统资源。

认证	授权
身份验证确认您的身份以授予对系统的访问权限。	授权确定您是否有权访问资源。
身份验证通常需要用户名和密码。	授权所需的身份验证因素可能有所不同，具体取决于安全级别。
身份验证是授权的第一步，因此始终是第一步。	授权在成功验证后完成。