# 認可（ログイン後の権限）— 「何をしてよいか」を決める

> レベル: 初級 ／ 対象: 大人
> 出典: Kotowary — https://kotowary.com/learn/units/authorization?level=beginner&audience=adult
認証で「誰か」が分かった次は、認可。「その人が**何をしてよいか**」を決めます。

## これは何をする係？

入館証（認証）を持っていても、入れる部屋は役職によって違いますよね。それが認可です。**操作の前に「この人にこの権限があるか」を確認**し、なければ断ります（※1 403）。

::diagram{name="auth-vs-authz"}

**登場人物メモ**:

- **※1 403（権限なし）** — 本人だが、その操作は許されていない
- **※2 ロール（役割）** — 「管理者」「一般」など、権限のまとまり

## 仕事の流れ

1. ログイン済みの人が、ある操作をしようとする
2. サーバが「この人（の役割）に、この操作の権限があるか」を確認する
3. **あれば実行、無ければ拒否**（403）

## 認証との違い＆最小権限

- **認証と認可は別** — 認証＝「誰か」、認可＝「何してよいか」。ログインできても、できることは人による
- **最小権限** — 仕事に必要な分だけ権限を渡す。万一奪われても被害を小さくできる

## ⚠️ うまくいかないとき

- **認可漏れ** — チェックを忘れ、他人のデータが見えてしまう（重大事故の定番）
- **権限昇格** — 一般利用者が管理者の操作をできてしまう