Uwierzytelnianie i uprawnienia

Authentication ustala, kim jest użytkownik. Authorization sprawdza, co ta osoba może zrobić.

Przykład: poprawne logowanie potwierdza tożsamość Anny, ale nie daje jej prawa do odczytu zamówienia innego klienta.

Na serwerze sprawdzam zarówno sesję, jak i uprawnienia do konkretnej operacji oraz zasobu. Rola „user” sama nie rozstrzyga własności dokumentu.

Statusy: 401 zwykle oznacza brak poprawnego uwierzytelnienia; 403 — odmowę wykonania operacji.

Pułapka: ukryty przycisk w UI nie chroni API. Token JWT trzeba zweryfikować, a nie tylko zdekodować.