《OAuth2实战》传统认证方式的问题

假如一个打印服务需要调用照片服务才能获取用户照片打印，打印服务是第三方服务。照片服务受保护不能随便访问，打印服务调用的时候需要弹出一个页面让用户输入照片服务上的用户名和密码才能获取照片。这样的缺点很明显，第一 用户的密码泄露给了打印服务，打印服务可以自己访问照片而不是在用户的许可之下访问照片 第二，用户在别的系统中的密码有可能和照片服务密码一样，这样会导致别的服务密码也泄露 第三，打印服务有了密码可以访问照片服务所有功能，比如删照片，这样无法确保用户信息安全 第四，无法随时撤销打印服务的访问，如果要撤销就只能改用户密码了，这样用户也不能登录了

思路一，给打印服务一个全局密匙

不能给打印服务用户的登录密码，那就给一个单独的密匙，这样用户的登录密码不会泄露。缺点是，全局密匙意味着打印服务可以访问所有用户的信息，也可以访问所有的功能。虽然你可以限制一下让打印服务只能访问部分功能，但是服务让它访问指定的用户。因为全局密匙并没有和用户绑定。如果要撤销这个客户端的访问可以直接修改这个全局密匙，但是也会导致这个客户端所有的用户无法访问。

思路二，给用户一个打印密匙

密匙丢失只会影响这一个用户，有多个客户端调用照片服务，想让某个客户端终止但是不能修改密匙，因为修改了密匙所有客户端都不能用。

思路三，给客户端一个，客户端和用户组合的密匙

可以控制客户端和控制到某个用户，这就产生了授权模式