principal:能唯一标识用户身份的属性,一个主题(用户)可以有多个principal; 举个例子:你去登录一些网站时可以用用户名,也可以用手机或邮箱,这些principal是别人可以知道的; credential:凭证,主题(用户)才知道的; 举个例子:你给手机开锁,可以使用屏幕密码也可以使用人脸识别,屏幕密码和人脸是你个人(用户)才拥有的; 最常见的 principals 和 credentials 组合就是用户名 / 密码了。