5G主认证（5G-AKA / EAP-AKA'）解决的是"UE是否是合法的5G用户"——认证对象是SUPI、结果是5GC密钥层级（KAMF→KgNB→KUPint）。但很多垂直场景（企业专线DNN、运营商自营业务、SNPN接入、IoT专网）真正想回答的是另一个问题："这个UE是否有权接入我这张数据网络（DN），以及它的证书/凭据是否被我信任"。这个问题的回答者不是5GC，而是外部数据网络的AAA服务器（DN-AAA Server）。
这就是 TS 23.501 §5.6.6 与 TS 23.502 §4.3.2.3 定义的 二次认证/授权（Secondary Authentication/Authorization）：在PDU会话建立过程中，由SMF作为EAP认证者的"前出端"，把UE的EAP报文经UPF透传（或5GC内直连）给DN-AAA，由DN-AAA完成独立认证并下发授权数据。它与