小伙伴肯定看出来不止多一个，但其中比较重要的就是sub这个claim，如果sub存在，调用API的access_token就能区分是代表用户的，否则就是代表客户端的。即有用户参与获取的acess_token是代表用户的，每个用户的token都不一样。
refresh_token得补上refresh_token是为了给access_token进行延长有效期而存在的，为了安全和降低风险，access_token的有效期一般设置的比较短，通常会是两个小时(根据需要设置)，当access_token失效时，常规的做法就是让其跳转到登录页重新登录获取，这样频繁的跳转到登录页，用户体验及其不好，为避免这种情况，需对access_token进行在线续命，即延长有效期；实现的方案各种各样，比如有在前端定时检测的，也有在后端做有效判断的，但用的相对比较多还是使用refresh_token的形式，当access_token失效时，会采用refresh_token去请求新的access_token，保证用户正常操作。
如果需要在获取access_token的时候同时返回refresh_token，需要在授权服务器上备案客户端时将AllowOfflineAccess设置为true，如下所示：
refresh_token具体使用，在后续的案例单独说吧。
总结关于Resource Owner Password Credentials 就简单说这么多，主要是看看如何使用，相信小伙伴在新的项目中应该会很少用到，毕竟拿着用户名和密码直接在第三方客户端搞事情，始终还是有风险；下一篇说说Implicit(简化模式)。
一个被程序搞丑的帅小伙，关注"Code综艺圈"，跟我一起学~
