Bảo MậtAuthentication (authn) xác minh bạn là ai; Authorization (authz) quyết định bạn được làm gì — authn luôn xảy ra trước authz.
- Authentication — xác minh danh tính: đăng nhập bằng password, OTP, biometric, OAuth/SSO. Kết quả: hệ thống biết request đến từ user nào.
- Authorization — kiểm tra quyền: user này có được vào trang admin, xóa bài viết, đọc resource X không — thường qua role (RBAC) hoặc permission cụ thể.
- Hình dung — trình hộ chiếu ở sân bay là authentication; boarding pass quyết định bạn được lên chuyến bay nào là authorization.
- HTTP status — 401 Unauthorized: chưa authenticate (tên status dễ gây nhầm — bản chất là 'unauthenticated'); 403 Forbidden: đã authenticate nhưng không đủ quyền.
- Trong code — authn: NextAuth/Passport verify session/token; authz: check role/permission ở từng route và action — thiếu authz check là Broken Access Control, hạng #1 trong OWASP Top 10.