「应用安全」OAuth和OpenID Connect的全面比较( 五 )_1.简介在这篇文章中

授权 - 谁授予谁谁的权限。

身份验证是一个简单的概念换句话说，它是对身份的确认。在网站上识别人的最流行方式是请求该人提供一对ID和密码，但还有其他方式，如使用指纹或虹膜的生物识别身份验证，一次性密码，随机数字表等。无论如何，无论使用何种方式，身份验证都是识别身份的过程。使用开发人员的话，可以表示为“身份验证是识别用户唯一标识符的过程” 。

另一方面，授权是复杂的，因为涉及三个元素，即“谁” ， “什么权限”和“对谁” 。另外，令人困惑的是，在这三个要素中，识别“谁”是认证的过程。换句话说，授权过程包括认证过程作为一个部分的事实使事情变得混乱。

如果三个元素应该被开发人员使用的单词替换， “who”可以替换为“user” ， “who”替换为“client application” 。因此， OAuth上下文中的授权可以说是用户向客户端应用程序授予权限的过程。

下图描绘了到目前为止所解释的概念。