我们需要清楚 OAuth 是什么？

　　OAuth 引入了一个授权层，用来分离两种不同的角色：客户端和资源所有者。......资源所有者同意以后，资源服务器可以向客户端颁发令牌。客户端通过令牌，去请求数据。

　　上面这段话的意思就是：OAuth 的核心就是向第三方应用颁发令牌。

　　由于互联网有多种场景，OAuth 2.0 规定了四种获得令牌的流程，你可以选择最适合自己的那一种，向第三方应用颁发令牌。

　　下面就是这四种授权方式。

• 授权码（authorization-code）
• 隐藏式（implicit）
• 密码式（password）
• 客户端凭证（client credentials）

　　注意，不管哪一种授权方式，第三方应用申请令牌之前，都必须先到系统备案，说明自己的身份，然后会拿到两个身份识别码：客户端 ID（client ID）和客户端密钥（client secret）。

　　这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的。

第一种授权方式：授权码

　　授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。

　　这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。

　　第一步，A 网站提供一个链接，用户点击后就会跳转到 B 网站，授权用户数据给 A 网站使用。下面就是 A 网站跳转 B 网站的一个示意链接。