注：浏览之前忘掉受权码、token那一套，只了解这个模型

参考起源

注释

OAuth2.0提供了一种客户端获取资源的受权模型，这一模型解决了客户端在获取别人资源时不用要求资源持有者提供明确的身份验证信息，而把这个工作交给了一个可信赖的受权者，这个授权人对资源的持有人是可信赖的，对资源的托管方也是可信赖的。
因而，OAuth2.0标准定义了四种角色：

  • 首先，客户端的用意很明确，向资源服务器获取资源；
  • 这个时候客户端须要出示一个凭证——令牌；
  • 令牌由受权服务器颁发，资源服务器在拿到令牌之后本人想方法验证令牌的合法性；
  • 因而，客户端的上一步就须要想方法去受权服务器拿到 指标资源 的令牌
  • 受权服务器保留了资源所有者的身份信息，因而，客户端须要获得资源所有者的批准，从而向受权服务器拿到受权的凭证，这一步由客户端疏导资源所有者与受权服务器进行身份校验，促使受权服务器给客户端一个受权凭证（这个受权的凭证意味着资源所有者认可客户端的合法性，阐明客户端有获取令牌的资格）；
  • 客户端在获得这个资格之后，能够释怀地向受权服务器申请资源凭证——令牌；
  • 在拿到令牌之后，客户端能够释怀地去资源服务器申请资源所有者指定的资源

这么做有个前提：资源持有者认可以后客户端。这个就要靠持有人本人负责验证客户端的合法性了。
这么做的益处就是：令牌的解释权在受权服务或资源服务器，资源持有人能够随时告诉两者，使令牌生效。