作者回复: 嗯，理解了OAuth2的原理，还有spring security oauth2的基本用法，就能进行生产级研发和布署。企业生产做法很复杂，而且有些做法也不是通用标准做法，各家玩法五花八门，OAuth2则是业界沉淀下来的标准规范。课程后继有部分生产级微服安全架构和实践相关内容，还会介绍一些生产级的开源产品。另外后继作者还会推出一些授权认证相关的生产级实践的文章，会给你更新。谢谢你的反馈🌹

作者回复: 嗯，理解了OAuth2的原理，还有spring security oauth2的基本用法，就能进行生产级研发和布署。企业生产做法很复杂，而且有些做法也不是通用标准做法，各家玩法五花八门，OAuth2则是业界沉淀下来的标准规范。课程后继有部分生产级微服安全架构和实践相关内容，还会介绍一些生产级的开源产品。另外后继作者还会推出一些授权认证相关的生产级实践的文章，会给你更新。谢谢你的反馈🌹

作者回复: 嗯，本课是先基于spring cloud oauth，用简单实验讲解原理，课程后面会介绍一些生产级开源产品，有其它语言的。当然你的建议很好，我后面准备推出如何从零构建授权服务器的文章，会给你更新。

作者回复: 谢谢建议，问题1已经反馈极客时间，问题2中demo主要考虑一些入门级学习者，后继在综合案例部分还会增加实战内容，另外还会陆续推出实战文章。

作者回复: 在这个实验中，授权服务器和资源服务器住在一起，授权服务器使用内存模式，那么资源服务器也是使用内存去比对校验令牌的。如果两者不住在一起，使用数据库存储，那么资源服务器可以去数据库比对校验令牌，也可以通过授权服务器提供的校验端点比对校验令牌。

作者回复: 请参考网上案例或官方文档(注意使用spring security 5版本)： https://www.devglan.com/spring-security/spring-security-oauth2-user-registration https://docs.spring.io/spring-security/site/docs/5.0.7.RELEASE/reference/html/oauth2login-advanced.html#oauth2login-advanced-login-page

作者回复: 实验是让你理解原理的，理解了原理之后，实际生产应用你要根据场景判断具体使用哪种模式，同时还要考虑很多生产环节需求(性能/高可用/安全等)。

作者回复: https://tools.ietf.org/html/rfc6749#section-4.4 根据RFC6749，4种授权模式中，授权码模式和用户名/密码模式都是可以支持refresh token的，但这两种模式也需要用户先认证以后才能拿到acess token和可选的refresh token。

作者回复: 机器对机器，使用客户端凭证模式，不经过登陆验页，客户端直接通过提供clientid+secret获取令牌

作者回复: 可以关注我的B站空间： https://space.bilibili.com/518029478 今年应该会补充相关实战内容。 你也可以提前参考这项目： https://github.com/BookmarksDev/bookmarks.dev 一个前后分离项目，认证授权基于OAuth2，采用keycloak服务器实现。