Autorização x autenticação

Autenticação = Processo de identificação do usuário.   Captura as credenciais do usuário.

·         Quem é o usuário?

·         Ele é realmente quem ele diz que é?

No tomcat:  http://javafree.uol.com.br/artigo/855399/

                Implementa 4 métodos.  2 da interface (init, doFilter), dois específicos(getNextURL e verifyAccess).

                Init: Chamado pelo container para carregar o arquivo de acesso.  Não é necessário se o acesso for por BD.

                DoFilter: Chamado pelo container quando um request tenta acessar um recurso que bate com o padrão do filtro. Faz a verificação das regras de acesso.

Autorização = Processo de permissão de acesso a um usuário que foi previamente identificado.  O sistema determina qual nível de acesso um usuário em particular já autenticado deve ter a um recurso controlado pelo sistema.  Ex: Um usuário pode acessar, mas não salvar em um BD.

·       Usuário X é autorizado para ter acesso ao recurso R?

·       O usuário X é autorizado a realizar a operação P?

·       O usuário X é autorizado a realizar a operação P sobre o recurso R?

Uso da Autenticação: Usada para garantir que um humano não é um programa de computador, como um script.  Ex: Usando o captcha (imagem distorcida com letras que só o humano pode entender)

A autorização vem depois da autenticação e depende dela para se certificar que usuários são quem eles dizem que são para prevenir usuários não autorizados receber acesso sobre recursos não permitidos. 

Opções de implementação: http://fernandofranzini.wordpress.com/2009/09/09/autenticacao-e-autorizacao/