OAuth2: 适合To C的应用场景, 比如我们开发一个app, 可以借用微信/微博用户认证开放接口, 达到免注册登陆, 企业内部系统没有必要引入.

OAuth2的步骤较多, 角色也较多, 涉及到auth code/access code/refresh code 以及clientId/clientSecret,  之前对这个了解不够, 看了下面几个文章, 现在基本掌握了.

OAuth2.0认证和授权机制讲解
https://www.tianmaying.com/tutorial/oAuth-login

"张开涛"的博客<<shiro OAuth2集成>>, 非常详细, 甚至有数据库设计.
https://www.vxzsk.com/1222.html

理解OAuth 2.0
http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

认证鉴权与API权限控制在微服务架构中的设计与实现
http://blueskykong.com/2017/10/19/security1/

Spring cloud 社区提供了 spring-cloud-starter-oauth2 包, 但该jar包依赖 Spring security, 不是我推荐使用 shiro. 网上有"张开涛"的博客<<shiro OAuth2集成>>, 讲解了如何使用shiro集成auth2, 有助于理解底层原理.