403

身份验证与授权：理解 AuthN 和 AuthZ

身份验证（AuthN）和授权（AuthZ）是两个容易混淆但截然不同的安全流程，混淆它们可能导致潜在的错误。身份验证通过密码或生物识别等凭据来验证用户身份，并通过令牌（token）为后续请求建立信任。而授权则根据角色、范围或策略，确定已通过身份验证的用户可以执行哪些操作。HTTP 状态码 401 Unauthorized（未授权）和 403 Forbidden（禁止）直接对应这些概念，其中 401 表示身份验证失败，403 表示授权失败。