## 第三種方式：密碼式 **如果你高度信任某個應用，RFC 6749 也允許用戶把用戶名和密碼，直接告訴該應用。該應用就使用你的密碼，申請令牌，這種方式稱為"密碼式"（password）。** 第一步，A 網站要求用戶提供 B 網站的用戶名和密碼。拿到以后，A 就直接向 B 請求令牌。 ``` https://oauth.b.com/token?grant_type=password &username=USERNAME &password=PASSWORD &client_id=CLIENT_ID ``` 上面 URL 中，`grant_type`參數是授權方式，這里的`password`表示"密碼式"，`username`和`password`是 B 的用戶名和密碼。 第二步，B 網站驗證身份通過后，直接給出令牌。注意，這時不需要跳轉，而是把令牌放在 JSON 數據里面，作為 HTTP 回應，A 因此拿到令牌。 這種方式需要用戶給出自己的用戶名/密碼，顯然風險很大，因此只適用于其他授權方式都無法采用的情況，而且必須是用戶高度信任的應用。