正确理解认证(authorization)和授权(authentication)

认证 — 通常当我们要识别某个个体或者某段进程（请求）的身份时，都要对他们所提供的身份信息进行鉴定，这个鉴定过程我们称之为 认证

 

授权 — 系统赋予某个个体在一定范围内从事某些行动的权利，这个过程我们称之为 授权

 

认证 是通过检查身份信息来确定某个个体的过程，认证 是决定某个个体行为规范的行为。简单来说，认证 是确定你是谁？ 授权 则是允许你做什么。举例来说，有些时候你需要出示驾照来说明你的身份，这就是一种 认证 的表现形式。而在很多时候，你的驾照做为一种证明你身份的手段来使你通过 认证 以及获得各种 授权

 

但是你的驾照并不能帮你通过一些类似于需要年龄限制的 认证 （比如投票）。这些 认证 需要你出示与其相关的身份证明，如您的出生日期，这样你才可以获得相应的准许（ 授权 ）

 

Authentication vs. Authorization 认证与授权

 

assignment != authentication 我们经常会有另外一个误解，就是将 为某个角色赋予某种权限 认为是授权。 其实，这不是权限管理领域的一个专有术语。这个动作的名称应该是 Assignment ，而不是 Authentication 。