访问控制的第一步是身份认证，确认用户身份后，才能进一步判断其是否有访问权限。