OAuth2.0 并非身份认证协议，虽然在授权的过程中涉及到身份认证，但是 OAuth2.0 协议本身并不处理用户的信息。客户端访问受保护的资源时并不关心资源的拥有者。
OAuth2.0 不提供一些消息签名，为了保证安全性所以不应脱离 Https 。在使用其它协议或者系统时也应该明确一个安全机制来承担 Https 所承担的任务。
OAuth2.0 并没有定义加密方式，虽然目前使用的较多的是 JOSE 规范
OAuth2.0 虽然令牌被客户端持有并使用，但是客户端并不能解析以及处理令牌。
5. 总结OAuth2.0 其实还有个特点，它并不是单体协议。它被分成了多个定义和流程，每个定义和流程都有各自的应用场景。所以本文的目的在于场景化的引入 OAuth2.0，当你渐入佳境时，我们再来进行细节的探讨吧。如果你想知道更多关于 OAuth2.0 协议的相关知识，可关注公众号：Felordcn 回复 oauth 获取相关知识的资料。