Oauth2创建和返回访问令牌的工作流程（使用Django）

Question

在阅读了很多关于Oauth2.0之后，我仍然对以下几点感到困惑：

1. 何时创建访问令牌？当用户尝试登录或用户尝试注册时？登录后是否在HTTP响应中发送此令牌？
2. 客户端必须将访问令牌存储在某处，以便客户端可以在每个HTTP请求中发送它。它应该存放在哪里？

注意：我没有进行任何第三方身份验证，只是对我自己的应用进行身份验证。我使用Django作为Web框架，使用RESTang的Django-tastypie和Oauth的Django-oauth-provider。我跟着this excellent tutorial但仍然有一些疑问。如果在这些框架的背景下给出答案，将不胜感激。