Is het mogelijk om een autorisatiesysteem te implementeren zonder verificatie van de identiteit van de gebruiker?

Het implementeren van een autorisatiesysteem zonder verificatie van de identiteit van de gebruiker is mogelijk in beperkte scenario's, bijvoorbeeld wanneer toegang wordt verleend op basis van andere factoren die niet gerelateerd zijn aan identificatie, zoals IP-adres, toegangstokens zonder koppeling aan de gebruiker of anonieme sessies.

Echter, in de klassieke opvatting, is autorisatie het proces van het bepalen van de rechten van de gebruiker na zijn authenticatie (identiteitsbevestiging). Zonder verificatie van de identiteit is het onmogelijk om precies te bepalen welke rechten of toegang het onderwerp zou moeten hebben, wat de veiligheid vermindert.

Voorbeeld: een openbare API met beperking van het aantal verzoeken per IP-adres — hier vindt autorisatie plaats zonder expliciete verificatie van de identiteit, maar dit is meer een toegangsbeperking dan volledige autorisatie.