角色：资源所有者、客户端、授权服务器和资源服务器。授权码模式（配合 PKCE）是面向用户的主要流程；客户端凭证模式用于服务之间的调用；设备授权模式（RFC 8628）用于电视和 CLI；刷新令牌用于续期访问权限。OAuth 关注的是授权；OpenID Connect 在其之上增加了身份验证。
RFC 9700（OAuth 2.0 Security Best Current Practice，2025年1月）弃用了隐式授权模式和资源所有者密码模式，要求公共客户端使用 PKCE 并建议所有客户端都使用，要求重定向 URI 精确匹配，并建议使用发送方约束令牌。OAuth 2.1 互联网草案整合了这些规则，但截至2026年10月尚未成为 RFC。