Pode explicar o princípio de funcionamento da autorização no ASP.NET e como ela difere da autenticação?

Autorização e autenticação são duas etapas distintas de segurança no ASP.NET.

Autenticação é o processo de verificar a identidade do utilizador, por exemplo, verificando o login e a senha. No ASP.NET, isso pode ser implementado através de formulários de autenticação, JWT, OAuth, etc. Após uma autenticação bem-sucedida, o utilizador recebe um token ou cookies que confirmam sua identidade.

Autorização é o processo de determinar quais ações ou recursos estão disponíveis para o utilizador autenticado. No ASP.NET, a autorização geralmente é implementada através de atributos, por exemplo [Authorize], que restringem o acesso a controladores ou métodos com base em papéis ou políticas.

Exemplo:

[Authorize(Roles = "Admin")]
public IActionResult AdminPanel()
{
    return View();
}

Aqui, o método está disponível apenas para utilizadores com o papel "Admin".

Resumindo:

• Autenticação — quem és?
• Autorização — o que te é permitido fazer?