Oauth介绍
OAuth（开放授权）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。
允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站（例如，视频编辑网站)在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如仅仅是某一相册中的视频）。这样，OAuth允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息，而不需要分享他们的访问许可或他们数据的所有内容。
介绍：https://tools.ietf.org/html/rfc6749#section-4.1.1
OAuth 2 标准中定义了以下几种角色：
- 资源所有者（Resource Owner）：即代表授权客户端访问本身资源信息的用户，客户端访问用户帐户的权限仅限于用户授权的“范围”。
- 客户端（Client）：即代表意图访问受限资源的第三方应用。在访问实现之前，它必须先经过用户者授权，并且获得的授权凭证将进一步由授权服务器进行验证。
- 授权服务器（Authorization Server）：授权服务器用来验证用户提供的信息是否正确，并返回一个令牌给第三方应用。
- 资源服务器（Resource Server）：资源服务器是提供给用户资源的服务器，例如头像、照片、视频等。
介绍几个注解：
@EnableAuthorizationServer 该注解用来开启认证服务，使用该注解表明自己是一个认证服务。
@EnableResourceServer 该注解要用来开启资源保护，表明自己是资源服务器受认证服务保护。
@EnableOAuth2Sso 该注解表示自己是oauth2客户端，也即单点登录客户端
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true, jsr250Enabled = true) spring-security默 认禁用注解，使用该注解来开启注解，判断用户对某个控制层的方法是否具有访问权限
四种授权方式：
1: 授权码授权模式（Authorization code Grant）
- 第一步：用户访问页面
- 第二步：访问的页面将请求重定向到认证服务器
- 第三步：认证服务器向用户展示授权页面，等待用户授权
- 第四步：用户授权，认证服务器生成一个code和带上client_id发送给应用服务器
- 然后，应用服务器拿到code，并用client_id去后台查询对应的client_secret
- 第五步：将code、client_id、client_secret传给认证服务器换取access_token和
- refresh_token
- 第六步：将access_token和refresh_token传给应用服务器
- 第七步：验证token，访问真正的资源页面
2、密码模式（Resource Owner Password Credentials Grant）
- 第一步：用户访问用页面时，输入第三方认证所需要的信息(QQ/微信账号密码)
- 第二步：应用页面那种这个信息去认证服务器授权
- 第三步：认证服务器授权通过，拿到token，访问真正的资源页面
优点：不需要多次请求转发，额外开销，同时可以获取更多的用户信息。(都拿到账号密码了)
缺点：局限性，认证服务器和应用方必须有超高的信赖。(比如亲兄弟？)
应用场景：自家公司搭建的认证服务器
3:客戶端模式：
- 第一步：用户访问应用客户端
- 第二步：通过客户端定义的验证方法，拿到token，无需授权
- 第三步：访问资源服务器A
- 第四步：拿到一次token就可以畅通无阻的访问其他的资源页面。
这是一种最简单的模式，只要client请求，我们就将AccessToken发送给它。这种模式是最方便但最不安全的模式。因此这就要求我们对client完全的信任，而client本身也是安全的。
因此这种模式一般用来提供给我们完全信任的服务器端服务。在这个过程中不需要用户的参与。
4：隐式授权（简化）模式（Implicit Grant）
- 第一步：用户访问页面时，重定向到认证服务器。
- 第二步：认证服务器给用户一个认证页面，等待用户授权。
- 第三步：用户授权，认证服务器想应用页面返回Token
- 第四步：验证Token，访问真正的资源页面