È possibile implementare un sistema di autorizzazione senza verificare l'identità dell'utente?

L'implementazione di un sistema di autorizzazione senza verifica dell'identità dell'utente è possibile in scenari limitati, ad esempio quando l'accesso viene concesso in base ad altri fattori non correlati all'identificazione, come l'indirizzo IP, token di accesso senza collegamento all'utente o sessioni anonime.

Tuttavia, nella comprensione classica, l'autorizzazione è il processo di determinazione dei diritti dell'utente dopo la sua autenticazione (conferma dell'identità). Senza verifica dell'identità, non è possibile determinare con precisione quali diritti o accessi il soggetto dovrebbe avere, il che riduce la sicurezza.

Esempio: un'API pubblica con limitazione del numero di richieste per indirizzo IP — qui, l'autorizzazione avviene senza una verifica esplicita dell'identità, ma si tratta più di una restrizione di accesso che di una vera e propria autorizzazione.