什么是认证？什么是会话？什么是授权？

认证：就是判断一个用户的身份是否合法的过程。用户访问系统资源，需要确认身份合法，才能继续访问。

会话：就是认证通过了，创建一个会话，会话结束前，一般无需再次认证。实际就是保持用户登录状态的机制。一般通过session方式和token方式。(区别：session机制的话，需要在服务端存储session信息；token方式，服务端可以无需存储token信息。

授权：是认证通过后发生的，授权是为了更细颗粒度对隐私数据进行划分。控制用户能够访问不同的资源。

授权的数据模型

用户----------------角色------------------权限---------------资源

用户角色关系-----------角色权限关系

RBAC:

1、基于角色的访问控制(Role-Based Access Control)，按角色进行授权

2、基于资源的访问控制(Resource-Based Access Control)，按资源进行授权（推荐使用该方式）