## 第四种方式：凭证式 **最后一种方式是凭证式（client credentials），适用于没有前端的命令行应用，即在命令行下请求令牌。** 第一步，A 应用在命令行向 B 发出请求 ``` https://oauth.b.com/token?grant_type=client_credentials &client_id=CLIENT_ID &client_secret=CLIENT_SECRET ``` 上面 URL 中，`grant_type`参数等于`client_credentials`表示采用凭证式，`client_id`和`client_secret`用来让 B 确认 A 的身份。 第二步，B 网站验证通过以后，直接返回令牌。 这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。 ## 令牌的使用 A 网站拿到令牌以后，就可以向 B 网站的 API 请求数据了。 此时，每个发到 API 的请求，都必须带有令牌。具体做法是在请求的头信息，加上一个`Authorization`字段，令牌就放在这个字段里面。 ``` curl -H "Authorization: Bearer ACCESS_TOKEN" \"https://api.b.com" ``` 上面命令中，`ACCESS_TOKEN`就是拿到的令牌。