# OAuth2 认证
假定：皮肤站的地址为 https://example.com/。
客户端在首次向用户请求授权时，应该让用户访问 https://example.com/oauth/authorize?client_id={客户端 ID}&redirect_uri={回调 URL}&response_type=code&scope= （最好是客户端能主动调用浏览器）。
此时浏览器会显示一个让用户选择是否允许授权给客户端的页面。如果用户允许，用户将被重定向到回调 URL，并带有一个含 code 字段的 query string。
客户端要取回这个 code 的值。
接下来，客户端用自己的 HTTP 库以 POST 方法访问（即，无需用户干预）此 URL：https://example.com/oauth/token，同时附带上以下表单参数：
| key | value |
|---|---|
| grant_type | authorization_code |
| client_id | （客户端 ID） |
| client_secret | （客户端的 secret 值） |
| redirect_uri | （回调 URL） |
| code | （刚刚获取到的 code 值） |
如果成功，返回的 JSON 响应中会包含 access_token 、refresh_token 和 expires_in 属性。expires_in 属性包含访问令牌的有效期（单位：秒）。