OAuth引入一个授权层，用来分离两种不同的角色:客户端和资源所有者。....资源所有者同意以后，资源服务器可以向客户端颁发令牌。客户端通过令牌，去请求数据。
个人理解:把服务器分为资源服务器和验证服务器，在验证服务器验证通过之后向资源服务器获取指定资源。
A获取B的资源
A(携带请求资源范围以及本身设备id)向B发出请求，获取B的同意后，B返回一个token和refreshtoken.
A使用B返回的token和refreshtoken向B请求令牌
B同意后返回令牌。
最后A使用B返回的令牌，向B请求指定范围的资源。
原文：https://www.cnblogs.com/wpw1215/p/11213273.html