認可（Authorization）は、認証 で身元が分かった相手に、どこまでの操作を許すか を決めることです。権限管理・アクセス制御とも呼ばれます。
同じログイン済みの利用者でも、立場によってできることは違います。
- 一般ユーザー … 自分の投稿の作成・編集。
- 管理者 … 他人の投稿の削除、設定の変更、ユーザー管理。
認可の考え方の1つに、役割ごとに権限をまとめる ロールベースアクセス制御（RBAC） があります。「編集者ロールには編集を許す」「閲覧者ロールには表示だけ許す」というように、役割単位で管理すると分かりやすく、人が増えても運用しやすくなります。
大切なのは、認証と認可を はっきり区別 することです。「本人だと確かめる（認証）」だけでは不十分で、「その人に、その操作を許してよいか（認可）」を必ず確認しなければなりません。この確認が甘いと、ログインさえすれば他人のデータまで見えてしまう、といった 脆弱性 につながります。