认证鉴权（Auth & Permission）

参考来源：OAuth 2.0 RFC 6749、JWT RFC 7519、RBAC 模型

适用场景

• API 的认证鉴权设计
• 多角色权限系统
• 多租户隔离
• 字段级权限
• 第三方集成（OAuth）

核心区分

认证（Authentication）：你是谁？
  - 验证身份
  - 失败返回 401
  - 例：token 无效 / 过期