认证:就是判断一个用户的身份是否合法的过程。用户访问系统资源,需要确认身份合法,才能继续访问。
会话:就是认证通过了,创建一个会话,会话结束前,一般无需再次认证。实际就是保持用户登录状态的机制。一般通过session方式和token方式。(区别:session机制的话,需要在服务端存储session信息;token方式,服务端可以无需存储token信息。
授权:是认证通过后发生的,授权是为了更细颗粒度对隐私数据进行划分。控制用户能够访问不同的资源。
授权的数据模型
用户----------------角色------------------权限---------------资源
用户角色关系-----------角色权限关系
RBAC:
1、基于角色的访问控制(Role-Based Access Control),按角色进行授权
2、基于资源的访问控制(Resource-Based Access Control),按资源进行授权(推荐使用该方式)