¿Es posible implementar un sistema de autorización sin verificar la identidad del usuario?

La implementación de un sistema de autorización sin verificación de identidad del usuario es posible en escenarios limitados, por ejemplo, cuando el acceso se concede en función de otros factores no relacionados con la identificación, como la dirección IP, tokens de acceso sin vinculación al usuario o sesiones anónimas.

Sin embargo, en el entendimiento clásico, la autorización es el proceso de determinar los derechos del usuario después de su autenticación (confirmación de identidad). Sin verificar la identidad, no es posible determinar con precisión qué derechos o accesos debe tener el sujeto, lo que reduce la seguridad.

Ejemplo: una API pública con limitación en la cantidad de solicitudes por dirección IP — aquí, la autorización ocurre sin una verificación explícita de la identidad, pero esto es más una restricción de acceso que una autorización completa.