Чем аутентификация отличается от авторизации? И как сервер понимает, кто делает запрос, после того как пользователь залогинился?

Как подойти

Проверяют, различает ли кандидат «кто ты» и «что тебе можно», и понимает ли механику: как после логина каждый следующий запрос связывается с пользователем через сессию или токен и какие у этого компромиссы по безопасности.