В чем разница между идентификацией, аутентификацией и авторизацией?

Идентификация, аутентификация и авторизация — три этапа контроля доступа: идентификация — кто ты (заявление), аутентификация — подтверждение, что ты тот, кем представился, авторизация — что тебе разрешено.

Идентификация (Identification)

Пользователь заявляет, кто он — предъявляет идентификатор (логин, email):

"Я — user@example.com"

Просто утверждение личности, без проверки.

Аутентификация (Authentication)

Проверка, что пользователь действительно тот, кем представился — по фактору:

• Знание — пароль, PIN.
• Владение — телефон (SMS/OTP), токен.
• Свойство — биометрия.

Ввод пароля → сервер проверяет → "да, это действительно user@example.com"

Многофакторная (MFA) — несколько факторов.

Авторизация (Authorization)

Определение, что пользователю разрешено делать — проверка прав/ролей:

"user может читать статьи, но не может удалять чужие"

Реализуется через роли (RBAC), права, политики.

Порядок и различия

Идентификация (кто?) → Аутентификация (докажи!) → Авторизация (что можно?)

• Идентификация — заявление личности.
• Аутентификация — подтверждение личности.
• Авторизация — проверка прав.

Пример

Логин (идентификация) → ввод пароля/2FA (аутентификация) → доступ к админке только для админов (авторизация).

Коротко для собеседования

Идентификация — кто ты (предъявляешь логин). Аутентификация — доказательство, что ты это ты (пароль, 2FA, биометрия). Авторизация — что тебе разрешено (роли, права). Порядок: идентификация → аутентификация → авторизация. Первое — заявление, второе — подтверждение, третье — права.