差异认证/授权机制

Question

我有一个使用HTML和JavaScript构建的Web应用程序。 在我的应用程序内部，我必须与其他多个网站集成。 为此，我必须使用设备通用的安全身份验证/授权机制。 我对其他应用程序的控制有限，并且没有身份验证/授权机制。

• 最初，我考虑将密码保存在Cookie中，并针对所有应用程序通过URL发送用户名和密码。 此方法根本不安全。

• 我考虑过使用摘要访问身份验证或公钥身份验证的其他选项。

• 然后，我遇到了基于声明的身份验证机制。

我应该为我的Web应用程序选择哪种机制？

另外，我必须怎么做才能维持安全的身份验证会话？

Answer 1

身份验证是关于允许他人使用或不使用您的服务，但授权是关于某人使用诸如管理员角色或普通用户之类的服务所拥有的特权。