В чем разница между идентификацией, аутентификацией и авторизацией?

Разница между идентификацией, аутентификацией и авторизацией

Это три связанных, но разных концепции безопасности, которые часто путают:

Идентификация (Identification)

Это процесс определения того, кто ты есть. Система получает информацию о пользователе (имя, ID, email) и узнает, что это за человек. Идентификация — это просто сказать системе: «Это я, пользователь X».

Аутентификация (Authentication)

Это процесс проверки того, что ты действительно тот, за кого себя выдаешь. После идентификации система проверяет учетные данные пользователя (пароль, отпечаток пальца, код 2FA). Аутентификация отвечает на вопрос: «Ты реально этот пользователь?»

Авторизация (Authorization)

Это процесс определения прав доступа после успешной аутентификации. Система проверяет, какие ресурсы и операции доступны этому пользователю. Авторизация отвечает на вопрос: «Что тебе разрешено делать?»

Примеры в Java

Пример с Spring Security:

// 1. ИДЕНТИФИКАЦИЯ — получаем информацию о пользователе
String username = request.getParameter("username");
UserDetails user = userDetailsService.loadUserByUsername(username);
// System.out.println("User ID: " + user.getUsername());

// 2. АУТЕНТИФИКАЦИЯ — проверяем пароль
Password providedPassword = new Password(request.getParameter("password"));
boolean isAuthenticated = passwordEncoder.matches(
    providedPassword.value(),
    user.getPassword()
);

if (!isAuthenticated) {
    throw new BadCredentialsException("Invalid password");
}

// Создаем токен аутентификации
Authentication authentication = 
    new UsernamePasswordAuthenticationToken(
        user.getUsername(),
        null,
        user.getAuthorities()
    );
SecurityContextHolder.getContext().setAuthentication(authentication);

// 3. АВТОРИЗАЦИЯ — проверяем права доступа
@PostAuthorize("hasRole(\"ADMIN\")")
public void deleteUser(Long userId) {
    // Только пользователи с ролью ADMIN могут вызвать этот метод
    userRepository.deleteById(userId);
}

// Или проверка через @PreAuthorize
@PreAuthorize("hasAnyRole(\"USER\", \"ADMIN\")")
public UserDTO getProfile(Long userId) {
    return userRepository.findById(userId).map(UserDTO::from).orElseThrow();
}

Пример без фреймворков:

public class AuthenticationService {
    
    private UserRepository userRepository;
    private PasswordEncoder passwordEncoder;
    private TokenProvider tokenProvider;
    
    public String authenticate(String username, String password) {
        // ИДЕНТИФИКАЦИЯ
        User user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UserNotFoundException("User not found"));
        
        // АУТЕНТИФИКАЦИЯ
        if (!passwordEncoder.matches(password, user.getPasswordHash())) {
            throw new BadCredentialsException("Invalid password");
        }
        
        // Создаем JWT токен с пермиссиями (для авторизации)
        return tokenProvider.generateToken(user.getId(), user.getRoles());
    }
}

public class AuthorizationService {
    
    public boolean canUserEdit(User user, Post post) {
        // АВТОРИЗАЦИЯ — проверяем права
        return user.getId().equals(post.getAuthorId()) || 
               user.getRoles().contains("ADMIN");
    }
    
    public boolean canUserDelete(User user, Comment comment) {
        return user.getId().equals(comment.getAuthorId()) || 
               user.getRoles().contains("MODERATOR") ||
               user.getRoles().contains("ADMIN");
    }
}

Порядок выполнения:

1. Идентификация — пользователь вводит username
2. Аутентификация — пользователь вводит пароль, система проверяет
3. Авторизация — система проверяет роли и разрешает операции

В реальных приложениях эти этапы часто объединяются в login endpoint, но концептуально они разные и важны для понимания безопасности.