В чем разница между аутентификацией и авторизацией и почему это соответствует ответам 401 и 403?

Question

Accepted Answer

Аутентификация отвечает на вопрос «кто ты?» (проверка учетных данных); авторизация отвечает "что вам разрешено делать?" (проверка разрешений *известного* принципала). Отсутствующие/неверные учетные данные не проходят аутентификацию и возвращают 401; действительный, но недостаточно привилегированный принципал не проходит авторизацию и возвращает 403.

## Пример

```java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

@Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // stateless API - see CSRF section below
            .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated())
            .addFilterBefore(jwtAuthFilter(), UsernamePasswordAuthenticationFilter.class)
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}
```

## Итог

Аутентификация отвечает на вопрос «кто ты?» (проверка учетных данных); авторизация отвечает "что вам разрешено делать?" (проверка разрешений *известного* принципала).