Чем аутентификация отличается от авторизации?

Три шага при входе:

1. Идентификация — пользователь называет себя: логин, email, телефон.
2. Аутентификация — подтверждает, что это он: пароль, код из SMS, биометрия; двухфакторная — два разных способа.
3. Авторизация — система решает, к чему у него есть доступ: роли (пользователь, модератор, администратор) и права на конкретные объекты.

После входа сервер выдаёт сессию (идентификатор в cookie) или токен (часто JWT), который клиент передаёт в каждом запросе, обычно в заголовке Authorization: Bearer ....

Что тестировать:

• вход с верными и неверными данными, блокировка после нескольких ошибок, восстановление пароля;
• истечение сессии или токена, выход из аккаунта;
• права по ролям — обычный пользователь не открывает админку ни через интерфейс, ни по прямой ссылке, ни через API;
• доступ к чужим объектам — подменить id заказа в URL или запросе: должно быть 403 или 404, а не чужие данные;
• скрытая кнопка в интерфейсе — не защита, проверять нужно сервер.