Authentication vs Authorization: JWT, Cookie, OAuth2 / OIDC?

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(o =>
    {
        o.Cookie.HttpOnly = true;                           // недоступна из JS (защита от XSS)
        o.Cookie.SecurePolicy = CookieSecurePolicy.Always;  // только HTTPS
        o.Cookie.SameSite = SameSiteMode.Lax;               // защита от CSRF
        o.ExpireTimeSpan = TimeSpan.FromHours(8);
        o.SlidingExpiration = true;
        o.LoginPath = "/account/login";
    });

// Вход после проверки пароля
var claims = new List<Claim> { new(ClaimTypes.NameIdentifier, user.Id.ToString()), new(ClaimTypes.Name, user.Email), new(ClaimTypes.Role, "Manager") };
var principal = new ClaimsPrincipal(new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme));
await HttpContext.SignInAsync(principal);

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(o =>
    {
        o.Authority = "https://auth.example.com/realms/shop";   // IdP: ключи подписи берутся из /.well-known/openid-configuration
        o.Audience = "orders-api";
        o.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ClockSkew = TimeSpan.FromSeconds(30),
            NameClaimType = "preferred_username",
            RoleClaimType = "roles"
        };
    });

builder.Services.AddAuthentication(o =>
{
    o.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    o.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(o =>
{
    o.Authority = "https://auth.example.com/realms/shop";
    o.ClientId = "shop-web";
    o.ClientSecret = builder.Configuration["Oidc:ClientSecret"];
    o.ResponseType = "code";                 // Authorization Code flow (+ PKCE по умолчанию)
    o.Scope.Add("orders.read");
    o.SaveTokens = true;                     // сохранить токены в cookie-тикете для вызова API
});

[Authorize]                                   // любой аутентифицированный
[Authorize(Roles = "Admin,Manager")]          // одна из ролей
[Authorize(Policy = "CanRefund")]             // политика
[AllowAnonymous]                              // исключение

// Minimal API
app.MapDelete("/orders/{id}", Delete).RequireAuthorization("CanRefund");

// Требовать аутентификацию везде по умолчанию (безопасный дефолт)
builder.Services.AddAuthorizationBuilder()
    .SetFallbackPolicy(new AuthorizationPolicyBuilder().RequireAuthenticatedUser().Build())
    .AddPolicy("CanRefund", p => p.RequireClaim("permission", "orders.refund"));

builder.Services.AddAuthentication()
    .AddJwtBearer("Internal", o => { /* токены от внутреннего IdP */ })
    .AddJwtBearer("Partners", o => { /* токены партнёров */ });

[Authorize(AuthenticationSchemes = "Partners")]
public class PartnerWebhooksController : ControllerBase { }