更详细的答案请参考:https://www.okta.com/identity-101/authentication-vs-authorization/

我试图用最简单的语言来解释这一点

1)身份验证意味着“你是你所说的那个人吗?”

2)授权意味着“你能做你想做的事吗?”

这在下图中也有描述。

我试图用最好的术语来解释它，并创造了一个相同的图像。

身份验证是验证您的登录用户名和密码的过程。

授权是验证您是否可以访问某些内容的过程。

身份验证是通过获取某种凭据(例如用户名密码组合)来验证用户身份的过程，并使用这些凭据来验证用户的身份。

授权是通过检查用户是否具有系统访问权限，从而允许经过认证的用户访问其资源的过程。您可以通过向已验证的用户授予或拒绝特定的权限来控制访问权限。因此，如果身份验证成功，则启动授权过程。认证过程始终进行到授权过程。

用于授权的JWT: JWT是一种基于JSON的安全令牌格式，它基本上是一个base64 url编码的字符串，用于传输 保护两个应用程序之间的内容。它们用于保护Web api中的请求数据。这些都包含在授权HTTP报头中，作为承载身份验证方案的一部分。

OAuth代表授权:OAuth不是API或服务:它是授权的开放标准，任何人都可以实现它。有了OAuth，你可以用你的谷歌、Facebook、Twitter或微软账户登录第三方网站，而不需要提供密码。这样你就可以避免在互联网上使用的每个web应用程序上创建帐户和记住密码。

正如身份验证vs授权所言:

Authentication is the mechanism whereby systems may securely identify their users. Authentication systems provide an answers to the questions: Who is the user? Is the user really who he/she represents himself to be? Authorization, by contrast, is the mechanism by which a system determines what level of access a particular authenticated user should have to secured resources controlled by the system. For example, a database management system might be designed so as to provide certain specified individuals with the ability to retrieve information from a database but not the ability to change data stored in the datbase, while giving other individuals the ability to change data. Authorization systems provide answers to the questions: Is user X authorized to access resource R? Is user X authorized to perform operation P? Is user X authorized to perform operation P on resource R?

参见:

Wikipedia上的身份验证与授权

假设你注册了一个技术会议。你到了，走到外面的登记桌前领取你的会议徽章。你必须先出示某种形式的身份证明，比如驾照。你的驾照可以识别你的身份(比如你的照片)，并由一个受信任的实体(车管所)分发。这就是身份验证。

工作人员将你的徽章交给你，徽章是红色、蓝色或绿色的。在会场内走一圈，你会发现一些展品都是用颜色标注的。有了绿色徽章，您可以进入绿色的展品，但不能进入蓝色或红色的展品。徽章不是由DMV分发的，而是由会议本身分发的，用于访问会议厅内的会议资源。

徽章上不一定有任何可以识别你的东西(徽章上可能印着你的名字，但你可以很容易地借用你朋友的蓝色徽章去参观蓝色展览——没有人会检查你的名字，只有蓝色)。你徽章的颜色允许你进入展品。这就是授权。