认证确认'你是谁'，授权确认'你能做什么'，两者在流程上认证先于授权，未经认证的请求不会进入授权流程