diff认证/授权机制

Question

我有一个使用HTML和JavaScript构建的Web应用程序。在我的应用程序中，我必须与其他多个网站进行整合。要做到这一点，我必须设备通用的安全认证/授权机制。我对其他应用程序和认证/授权机制的控制有限。

• 我最初考虑在cookie中保存密码并在URL中为所有应用程序发送用户名和密码。这种方法并不安全。

• 其他选项我曾考虑过使用摘要访问身份验证或公钥身份验证。

• 然后我遇到了基于声明的认证机制。

我应该为我的web应用程序选择哪种机制？

此外，我需要做些什么来维护安全的身份验证会话？

Answer 1

身份验证是关于让其他人使用您的服务或不这样做，但授权是关于某人使用您的服务（如管理员角色或常规用户）可能拥有的权限。