认证与授权

什么是认证、什么是授权

1、认证就是验证客户身份，解决“我是谁”的问题。比如登录用户密码、手机验证码、邮箱认证等

2、授权就是授予用户权限，解决“我能做哪些事”的问题。比如登录某个系统，A可以编辑数据，B只能查看数据。

身份认证是授权的第一步，认证通过后才能授予权限。

常见认证方式

HTTP Basic Auth

简单来说就是每次请求都带上用户名密码，这是最简单的认证方式。但是风险很高，用户名密码在传输过程中很容易暴露。在生产环境下不建议使用。

OAuth

OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是OAUTH的授权不会使第三方触及到用户的账号信息（如用户名与密码），即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此OAUTH是安全的。

OAuth的认证流程如下图所示。个人使用的互联网应用如授权微信登录等使用OAuth认证方式。

Cookie-session Auth

cookie-session认证机制就是服务端为客户端生成一个session对象，同时客户端创建一个cookie对象。客户端每次请求携带cookie信息与服务端session信息进行匹配从而完成认证。

Token Auth

token认证简单来说就是服务器向客户端发送令牌，每次请求带着令牌。生产中常用基于JWT的token认证机制。

参考文章

https://zhuanlan.zhihu.com/p/606282195

java常见的几种认证机制_java认证模式有哪些-CSDN博客