#oauth

Authentication（身份认证）与 Authorization（权限授权）区别辨析

本文系统性地分析了网络安全中两个核心概念——身份认证（Authentication）与权限授权（Authorization）的区别。身份认证解决"你是谁"的问题，通过密码、令牌或生物特征验证身份；而授权则决定"你能做什么"，在认证成功后实施权限控制。文章揭示了常见误区，包括HTTP状态码命名混淆（401 vs 403）、OAuth协议的授权与认证边界，以及"登录"流程的真实组成。针对两类安全机制，分别列举了典型攻击方式（如凭证填充、越权漏洞）及防御措施。