引言

在现代系统中，确保用户身份合法、操作符合权限要求是构建安全体系的关键。认证、授权、鉴权和权限控制，分别解决了用户身份验证、权限分配、实时权限校验以及权限管理的问题，它们共同构成了系统安全的基石。

1. 核心概念解析

1.1 认证 (Authentication)

是什么：

认证是验证用户身份的过程，确保用户是其声称的那个人。

关键问题：

“你是谁？”

功能与特点：

• 确保用户身份的真实性。
• 基于凭据（如用户名、密码、Token 等）。
• 是系统安全的基础，必须先认证，后授权或鉴权。

常见实现：

• 用户名+密码。
• 生物特征认证（如指纹、人脸识别）。
• OAuth2/OpenID 等协议认证。

示例：

• 用户输入用户名和密码，系统验证正确性后，授予用户一个身份标识。

1.2 授权 (Authorization)

是什么：

授权是分配用户权限的过程，决定用户可以执行哪些操作或访问哪些资源。

关键问题：

“你能做什么？”

功能与特点：

• 授权是在认证通过后发生的。
• 用户被授予一定的权限或角色，用于访问系统资源。
• 角色权限控制（RBAC）：基于角色分配权限。
• 细粒度权限控制：基于资源、操作进行精细化管理。

示例：

• 用户登录后，可以访问自己的订单详情，但无法查看其他用户的订单。

1.3 鉴权 (Access Control)

是什么：

鉴权是实时验证用户是否具有某一具体操作的权限，确保资源访问安全。

关键问题：

“你现在是否被允许执行这项操作？”

功能与特点：

• 鉴权基于实时权限校验，与授权密切相关。
• 通常在用户尝试访问资源时，动态检查用户的权限。
• 可以结合策略、上下文（如时间、地点等）进行动态判断。

常见鉴权策略：

• ABAC (Attribute-Based Access Control)：基于用户属性或环境条件的权限控制。
• PBAC (Policy-Based Access Control)：基于策略定义权限规则。

示例：

• 用户访问 /admin/manage 路径，系统实时检查用户是否拥有 管理员 角色，并允许或拒绝。

1.4 权限控制 (Permission Management)

是什么：

权限控制是系统设计阶段定义和管理用户可以执行的操作的机制，是权限体系的基础。

关键问题：

“有哪些操作可以被分配？”

功能与特点：

• 权限控制包括定义系统中所有操作（如查看、编辑、删除）的权限点。
• 负责设计权限模型（如角色、资源、操作的映射关系）。
• 提供管理员分配和管理用户权限的能力。

实现方式：

• 通过权限表或配置文件维护权限点。
• 动态管理角色和权限的关联。

示例：

• 系统中有 查看订单、编辑订单 两个权限点，管理员为普通用户分配 查看订单 权限，而不给 编辑订单 权限。

2. 关系与对比

3. 实战应用场景

场景：用户访问电商后台系统的订单管理功能

1. 认证 (Authentication)：

   用户通过用户名和密码登录，系统确认用户身份是“张三”。

2. 授权 (Authorization)：

   系统根据“张三”的角色（如普通用户、管理员）分配权限：

   1. 普通用户：只能查看自己的订单。
   2. 管理员：可以查看和编辑所有订单。

3. 鉴权 (Access Control)：

   用户尝试访问 GET /orders/123/edit。

   系统检查“张三”是否拥有“编辑订单”的权限，并决定是否允许。

4. 权限控制 (Permission Management)：

   管理员可以动态配置新的权限点（如“导出订单”）并分配给特定用户或角色。

4. 总结与建议

• 认证 是基础，验证用户身份。
• 授权 定义用户的权限范围。
• 鉴权 在访问时动态校验用户权限。
• 权限控制 提供权限设计和分配的基础能力。

在系统设计中，必须结合实际需求，合理规划 4 个部分，以实现既安全又高效的权限管理体系。