Аутентификация и авторизация

#8.1 Аутентификация vs авторизация

Аутентификация — проверка личности: «Кто ты?» (логин + пароль → токен). Авторизация — проверка прав: «Что тебе можно?» (admin может удалять, user — только читать).

Эти два термина часто путают, но они обозначают разные шаги: сначала «кто ты», потом «что тебе можно». Два подхода к хранению состояния входа: сессии (состояние на сервере, клиенту — id сессии в cookie) и JWT (подписанный токен у клиента, сервер ничего не хранит). Сессии легко отозвать, но для них нужно серверное хранилище; JWT масштабируется без хранилища, но отозвать его до истечения трудно. В этом модуле мы реализуем JWT-подход (он преобладает в API), а сессии разбираем здесь для сравнения — отдельной практики по ним не будет.