認証と認可の区別

要求対象へのアクセスをサーバ側で確認する認可制御

考える順序

1. 1ログインは本人かを確認する認証
2. 2その本人に対象情報の権限があるかは別の認可
3. 3操作ごとにサーバ側で対象と権限を確認する

選択肢ごとの理由

• 正解 · 要求対象へのアクセスをサーバ側で確認する認可制御

  ログインは本人かを確認する認証。その本人に対象情報の権限があるかは別の認可。操作ごとにサーバ側で対象と権限を確認する。

• 比較 · ログイン画面だけに多要素認証を追加する

  多要素認証を加えても対象データへの権限確認の欠落は残ります。

• 比較 · 会員番号の入力欄を画面から消す

  画面を使わず要求内容を変更できるためサーバ側の認可が必要です。

• 比較 · アクセス先URLを利用者へ非公開にする

  URLを知られにくくするだけではアクセス権を検証できません。