我有一个应用程序的想法，它的后端既为本地移动应用程序服务，也为使用OAuth2的桌面浏览器服务。

在阅读了OAuth2参考之后，我意识到我只需要使用一个简单的Resource Owner Password Credentials Grant，因为这些客户机不是第三方客户机。换句话说，我只是使用OAuth2作为一个简单的登录协议，它可以同时为本机移动应用程序和浏览器提供服务，而不是为浏览器使用会话，为应用程序使用令牌（我宁愿使用OAuth2的密码授权来保持它的直截了当）。

然而，我想我会在将来为第三方发布一个API。我该如何为第三方以及上面提到的移动应用程序和浏览器服务呢？

我主要担心的是，我最终会得到一个具有两个不同角色的服务器：一个面向第三方，另一个面向它直接支持的移动应用程序和浏览器。我该如何着手做这件事呢？我想我可以使用一个authorization Code grant，将第三方应用程序与移动/浏览器应用程序分开，并且移动/浏览器应用程序将通过提供API中的整个范围资源而具有完整的功能。