登場するロールは、リソースオーナー、クライアント、認可サーバー、リソースサーバーです。ユーザーが関わる主なフローは認可コードグラント（PKCE 付き）で、サービス間の呼び出しにはクライアントクレデンシャルグラント、テレビや CLI にはデバイス認可グラント（RFC 8628）を使い、アクセスの更新にはリフレッシュトークンを使います。OAuth が扱うのは認可であり、OpenID Connect はその上に認証を追加します。
OAuth 2.0 のセキュリティに関するベストカレントプラクティスである RFC 9700（2025年1月）は、インプリシットグラントとリソースオーナーパスワードグラントを廃止し、パブリッククライアントには PKCE を必須とし、すべてのクライアントに推奨しています。また、リダイレクト URI の完全一致による照合を求め、送信者制約付きトークンを推奨しています。OAuth 2.1 のインターネットドラフトはこれらの規則をまとめたものですが、2026年10月の時点ではまだ RFC になっていません。