Каков механизм аутентификации при написании API?

Первый раз пишу серверную часть API с использованием OAuth2.0.
С OAuth уже имел дело (писал клиентов для vk), но только со стороны клиента.
Возник вопррос, как организовать аутентификацию (не авторизацию) при работе с OAuth?
Т.е. для примера: есть клиент API у которого есть форма ввода логина-пароля, пользователь этого клиента вбивает свои данные, нажимает «Войти», а вот что дальше я не совсем понимаю. Понимаю что запрос уходит на сервер, он проверяет данные, если они верные и такой пользователь есть, то что он должен сделать? И как в дальнейшем клиент должен «говорить» серверу о том что это пользователь и как сервер должен понимать что он уже проходил аутентификацию?
Пробовал искать инфу в инете, видел несколько статей, которые натолкнули на определённые мыслы, но всё ещё не до конца понятен весь механизм.