鉴权授权
可以看得出，在这个流程里系统 b 就不需要再走登录了。
可见，先有鉴权，才有授权。而登录，其实就是鉴权的过程。但是，现在的登录服务，同时做了鉴权和授权的工作，所以，用户是感知不到这两个阶段的明显区别。
Authentication 鉴权 和 Authorization 授权 举个栗子，我要登陆 -创作我的创作。-输入用户名冯小糖，密码***，用户名和密码通过验证，登陆成功，这就是 鉴权 Authentication。
Oauth2解决第三方登录问题
原生app授权：app登录请求后台接口，为了安全认证，所有请求都带token信息，如果登录验证、请求后台数据。
OAuth2一般不适用公司内部API调用，因为它的主要目的是解决资源授权的问题，而且OAuth2里面角色对于C/S结构的app来说太过于繁杂了，不太有必要折腾。
注意： 第三方应用服务器拿到刷新令牌必须存于服务器，通过后台进行重新获取新的令牌，以保障刷新令牌的保密性。
如果用OAuth2进行认证，会有许多问题。OAuth2提供了 Access Token 来解决授权第三方 客户端 访问受保护资源的问题；OIDC在这个基础上提供了 ID Token 来解决第三方客户端标识用户身份认证的问题。
Oauth2详解-介绍(一)
OAuth2是一个授权框架，使应用程序能够访问其它公司提供的资源，比如腾讯、阿里、华为等公司的开放平台。OAuth2为Web、桌面程序、移动程序提供了一整套的授权流程。
). DefaultTokenServices AuthorizationServerTokenServices竟然可以操作AccessToken，那么OAuth2就默认为我们提供了一个默认的DefaultTokenServices。
OAuth 就是为这种类似的场景定义的一套标准，目前已经发展到了 OAuth0 。
OAuth2是通过IDP给第三方应用颁发令牌（Token）来实现以上功能的，第三方应用通过使用令牌向资源服务换取对应的资源。在Twitter的OAuth指导手册中说OAuth2是一种认证协议，实际上，这是基于授权的“伪认证”。
OAuth2实现单点登录SSO
1、两者有很多相似之处，下面我们来解释一下这个过程。先来讲解SSO，通过SSO对比OAuth0，才比较好理解OAuth0的原理。SSO的实现有很多框架，比如CAS框架，以下是CAS框架的官方流程图。
2、要实现SSO，需要实现以下主要的功能：所有的应用系统共享一个身份认证系统。统一的身份认证系统是SSO的前提，认证系统的主要功能是将用户的登录信息和用户信息库相比较，对用户进行登录认证。
3、以下是常见的几种实现方式：单点登录（SSO）单点登录是将其他应用程序的身份验证信息保存在一个中心服务器上，当用户登录一个应用程序后，就可以轻松地访问其他应用程序，无需再次输入用户名和密码。
4、SSO是单点登录的简称，常用的SSO的协议有两种，分别是SAML和OAuth2。本文将会介绍两种协议的不同之处，从而让读者对这两种协议有更加深入的理解。
5、用CAS实现的单点登录流程如下：理解OAuth2本身，见 http：// 这里重点提出的是使用Oauth2的单点登录流程：OpenID最新版本是OpenID Connect，它为OpenID的第三代技术。
6、单点登录（Single Sign On， SSO）是指在同一帐号平台下的多个应用系统中，用户只需登录一次，即可访问所有相互信任的应用系统。
微服务权限终极解决方案(spring-cloud-gateway-oauth2)
1、通过认证服务( oauth2-auth )进行统一认证，然后通过网关（ oauth2-gateway ）来统一校验认证和鉴权。采用Nacos作为注册中心，Gateway作为网关，使用nimbus-jose-jwtJWT库操作JWT令牌。
2、由于 spring cloud gateway 是基于 WebFlux 框架实现的，该网关作为资源服务器时不能使用 @EnableResourceServer 注解，需要使用@EnableWebFluxSecurity 注解来配置安全过滤链。
3、所以总结一下就是： 通过将用户信息这个资源设置为被保护资源，可以使用OAuth2技术实现单点登陆(SSO)，而Spring Security OAuth2就是这种OAuth2 SSO方案的一个实现。
4、在网关层完成url层面的鉴权操作。将解析后的jwt token当做请求头传递到下游服务中。
5、在秀米排版好之后，把在秀米的推送扫二维码到自己的手机，然后检查，直到检查到没明显的排版、空行、空格、色调的错误。
6、我们可以借助Spring Cloud中内置的 spring-cloud-starter-oauth2 组件搭建OAuth 0的鉴权服务，OAuth 0的协议还涉及到很多复杂的规范，比如角色、客户端类型、授权模式等。