1.权限管理概念
基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理能实现对用户访问系统的控制，按照安全规则或者安全策略限制用户操作，只允许用户访问被授权的资源。
权限管理：包括用户身份认证和授权两部分，简称：认证授权
2.身份认证
判断一个用户是否是合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名跟口令一致，来判断用户身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件key等刷卡系统，则需要刷卡。
3.身份认证的三个主要对象
3.1 Subject 主体
访问系统的用户，主题可以是用户、程序等，进行认证的都称为主体；
3.2 Principal 身份信息
是主题（subject）进行身份认证的标识，标识必须具有唯一性，如手机号、用户名、邮箱等，一个主体可以有多个身份，但是必须有一个主身份(Primary Principal)。
3.3 Credential 凭证信息
是只有主体自己知道的安全信息，如密码、证书等。
4. 授权
即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某些资源没有权限是无法访问的。