身份验证与授权有何区别？简言之，身份验证关注的是“我是谁”，而授权则涉及“我能做什么”。
那么，何谓身份验证（Authn）呢？身份验证旨在确认个体或设备是否确实为它们所声称的身份。例如，参加活动的人可能需要出示身份证来证明身份；类似地，应用程序或数据库也可能需要核实用户的身份，以确保数据安全，不被错误的人访问。
常见的身份验证方法有哪些？用户名和密码组合是其中之一。
用户名和密码是用户最为熟悉的身份验证方式。当用户在浏览器中登录电子邮件账户时，服务需要验证用户的身份。一旦用户在登录表单中输入正确的用户名和密码，服务便可以确认用户身份，并允许其登录。
尽管用户名和密码验证方式普遍存在，但它不仅用于用户身份验证，还适用于API端点等场景。
多因素身份验证（MFA）也是一种常见的方法。
MFA通过要求额外的身份验证因素，提高了用户的安全性。例如，双因素身份验证（2FA）要求用户除了密码外，还需提供其他验证方式，如短信验证码或移动应用生成的动态令牌。此外，MFA还可结合生物识别身份验证，如指纹或面部识别。
公钥证书也是身份验证的一种形式。
公钥加密用于验证拥有正确私钥的实体。在传输层安全（TLS）协议中，公钥加密被用于验证Web服务器。当用户加载使用HTTPS的网站时，就会执行这种身份验证。
此外，公钥身份验证还应用于相互身份验证，例如物联网（IoT）设备和API端点。
生物识别身份验证是另一种身份验证方式。
生物识别身份验证依赖于人类的物理特征，如面部或视网膜扫描，来验证身份。
接下来，我们探讨授权（Authz）的概念。授权决定了经过身份验证的用户可以访问的内容和执行的操作。以银行客户在线登录账户为例，验证身份后，客户可以查看自己的账户余额和交易历史，但无权查看他人账户。
同样，即使一个人是企业的合法雇员，他们验证了自己的身份，但这并不意味着他们有权访问企业的所有文件和数据。例如，非人力资源或会计部门的员工不应有权查看每个人的薪酬信息。
用户的授权级别决定了他们可以执行的操作，因此，我们常用“权限”和“特权”来描述授权操作。
授权机制是如何运作的？组织使用授权解决方案来控制用户操作。这些解决方案通常会根据用户的身份来决定允许或阻止哪些操作。确定用户权限的方法有很多，包括基于角色的访问控制（RBAC）、基于属性的访问控制（ABAC）和基于规则的访问控制。
最后，我们来了解一下OAuth。OAuth是一个技术标准，用于在服务间传递授权。它常用于云服务和Web应用程序，允许用户在服务A上验证身份后，将授权传递给服务B。OAuth使得单点登录（SSO）成为可能，用户只需登录一次，即可访问所有云应用程序。如果没有OAuth，用户需要单独在每个应用程序中设置权限。
标签: 区块链
