認可とは

認可（Authorization）は、認証 で本人だと確認した利用者に対して、どの情報や機能へのアクセスを許すかを決める仕組みです。「誰であるか」を確かめるのが認証、「何をしてよいか」を決めるのが認可です。

例

• WordPress で、「編集者」はほかの人の記事も編集できるが、「投稿者」は自分の記事しか編集できない
• 会員サイトで、ログインした利用者は自分の注文履歴だけを見られる
• OAuth 2.0 で、外部のアプリに自分のアカウントの一部の操作だけを許可する（アクセストークン が発行される）

不備があると起きること

認可の確認が抜けていると、URL の ID を変えるだけでほかの人のデータが見られる、一般の利用者が管理者の機能を使える、といった問題が起きます（権限昇格）。

実装のポイント

• 画面にボタンを出さないだけでなく、サーバー側で操作ごとに権限を確認する
• WordPress では current_user_can() で権限を確認する
• 必要最小限の権限だけを与える（最小権限）

関連用語

認証、アクセス制御、権限昇格