認證 (authentication) 和受權 (authorization) 的區別

 

之前一直傻傻分不清各類網際應用中 authentication 和 authorization, 其實很簡單:

 

這兩個術語一般在安全性方面相互結合使用，尤爲是在得到對系統的訪問權限時。二者都是很是重要的主題，一般與網絡相關聯，做爲其服務基礎架構的關鍵部分。然而，這兩個術語在徹底不一樣的概念上是很是不一樣的。雖然它們一般使用相同的工具在相同的上下文中使用，但它們彼此徹底不一樣。

身份驗證意味着確認您本身的身份，而受權意味着授予對系統的訪問權限。簡單來講，身份驗證是驗證您的身份的過程，而受權是驗證您有權訪問的過程。

認證

身份驗證是關於驗證您的憑據，如用戶名/用戶ID和密碼，以驗證您的身份。系統肯定您是否就是您所說的使用憑據。在公共和專用網絡中，系統經過登陸密碼驗證用戶身份。身份驗證一般經過用戶名和密碼完成，有時與身份驗證因素結合使用，後者指的是各類身份驗證方式。

身份驗證因素決定了系統在授予訪問文件和請求銀行交易以外的任何內容以前驗證某人身份的各類要素。用戶的身份能夠經過他所知道的，他擁有的或者他是什麼來肯定。在安全性方面，必須至少驗證兩個或全部三個身份驗證因素，以便授予某人訪問系統的權限。

根據安全級別，身份驗證因素可能與如下之一不一樣：

• 單因素 身份驗證 - 這是最簡單的身份驗證方法，一般依賴於簡單的密碼來授予用戶對特定系統（如網站或網絡）的訪問權限。此人能夠僅使用其中一個憑據請求訪問系統以驗證其身份。單因素身份驗證的最多見示例是登陸憑據，其僅須要針對用戶名的密碼。
• 雙因素身份驗證 - 顧名思義，它是一個兩步驗證過程，不只須要用戶名和密碼，還須要用戶知道的東西，以確保更高級別的安全性，例如ATM引腳，用戶知道。使用用戶名和密碼以及額外的機密信息，欺詐者幾乎不可能竊取有價值的數據。
• 多重身份驗證 - 這是最早進的身份驗證方法，它使用來自獨立身份驗證類別的兩個或更多級別的安全性來授予用戶對系統的訪問權限。全部因素應相互獨立，以消除系統中的任何漏洞。金融機構，銀行和執法機構使用多因素身份驗證來保護其數據和應用程序免受潛在威脅。

例如，當您將ATM卡輸入ATM機時，機器會要求您輸入您的PIN。在您正確輸入引腳後，銀行會確認您的身份證實該卡真正屬於您，而且您是該卡的合法全部者。經過驗證您的ATM卡引腳，銀行實際上會驗證您的身份，這稱爲身份驗證。它只是肯定你是誰，沒有別的。

受權

另外一方面，受權發生在系統成功驗證您的身份後，最終會授予您訪問資源（如信息，文件，數據庫，資金，位置，幾乎任何內容）的徹底權限。簡單來講，受權決定了您訪問系統的能力以及達到的程度。驗證成功後，系統驗證您的身份後，便可受權您訪問系統資源。

受權是肯定通過身份驗證的用戶是否能夠訪問特定資源的過程。它驗證您是否有權授予您訪問信息，數據庫，文件等資源的權限。受權一般在驗證後確認您的權限。簡單來講，就像給予某人官方許可作某事或任何事情。

例如，驗證和確認組織中的員工ID和密碼的過程稱爲身份驗證，但肯定哪一個員工能夠訪問哪一個樓層稱爲受權。假設您正在旅行並且即將登機。當您在登記前出示機票和一些身份證實時，您會收到一張登機牌，證實機場管理局已對您的身份進行了身份驗證。但那不是它。乘務員必須受權您登上您應該乘坐的航班，讓您能夠進入飛機內部及其資源。

對系統的訪問受身份驗證和受權的保護。能夠經過輸入有效憑證來驗證訪問系統的任未嘗試，但只有在成功受權後才能接受。若是嘗試已經過身份驗證但未得到受權，系統將拒絕訪問系統。

認證	受權
身份驗證確認您的身份以授予對系統的訪問權限。	受權肯定您是否有權訪問資源。
這是驗證用戶憑據以得到用戶訪問權限的過程。	這是驗證是否容許訪問的過程。
它決定用戶是不是他聲稱的用戶。	它肯定用戶能夠訪問和不訪問的內容。
身份驗證一般須要用戶名和密碼。	受權所需的身份驗證因素可能有所不一樣，具體取決於安全級別。
身份驗證是受權的第一步，所以始終是第一步。	受權在成功驗證後完成。
例如，特定大學的學生在訪問大學官方網站的學生連接以前須要進行身份驗證。這稱爲身份驗證。	例如，受權肯定成功驗證後學生有權在大學網站上訪問哪些信息。

摘要

雖然這兩個術語常常相互結合使用，但它們的概念和含義徹底不一樣。雖然這兩個概念對於Web服務基礎結構相當重要，特別是在授予對系統的訪問權限時，理解關於安全性的每一個術語是關鍵。雖然咱們大多數人將一個術語與另外一個術語混淆，但理解它們之間的關鍵區別很重要，實際上很是簡單。若是身份驗證是您的身份，則受權是您能夠訪問和修改的權限。簡單來講，身份驗證就是肯定某人是不是他聲稱的人。另外一方面，受權是肯定他訪問資源的權利。

 

舉個例子來講：

你要登機，你須要出示你的身份證和機票，身份證是爲了證實你張三確實是你張三，這就是 authentication；而機票是爲了證實你張三確實買了票能夠上飛機，這就是 authorization。 在網站認證領域再舉個例子： 你要登錄論壇，輸入用戶名張三，密碼1234，密碼正確，證實你張三確實是張三，這就是 authentication；再一check用戶張三是個版主，因此有權限加精刪別人帖，這就是 authorization。