小程序登录、用户授权与服务端会话应如何设计，为什么授权不等于身份认证？

# 核心结论

小程序中的登录、用户授权和业务权限是三个不同层次。登录解决“服务端如何确认当前请求对应哪个本站用户”；授权解决“用户是否同意应用在特定场景使用位置、相册、摄像头等能力”；业务权限解决“这个已登录用户是否有权访问某项资源或执行某个操作”。因此，获得用户资料或某项系统权限并不等于完成身份认证，客户端隐藏按钮也不等于完成权限控制。所有涉及隐私数据、资金、付费资源或数据修改的请求，都必须由服务端验证会话、参数和资源归属。

# 底层机制

典型登录流程是：客户端调用平台登录能力取得短期凭证，将该凭证通过安全连接发送给自己的服务端；服务端再按平台公开流程交换或校验身份信息，建立平台身份与本站账户的映射，并向客户端签发本