資安詞條 6-36

身分驗證與授權Authentication & Authorization

也常叫做：Authentication vs Authorization、登入與權限、驗證與授權

你可能會這樣說

使用者已登入，卻不應該因此就能看見所有人的資料或管理功能。

身分驗證是確認使用者是誰，例如登入時驗證帳密；授權是確認這個使用者可以做哪些事，例如一般會員能看自己的訂單，管理員才能修改全部商品。

登入成功不代表所有操作都允許。每次讀取或修改重要資料，系統都要依帳號權限檢查，不能只靠畫面把按鈕藏起來。

身分驗證

回答「你是誰？」例如確認登入帳號。

權限授權

回答「你可以做什麼？」例如能否查看或修改特定資料。

圖 6-36　點上面的按鈕，看看各部分怎麼分工。

中文就可以

請檢查這個網站的登入和權限設計：分別說明如何確認使用者身分、如何限制一般會員與管理員可讀寫的資料。指出只在前端隱藏按鈕是否足夠。