RFC 8628 のデバイス認証グラントは、テレビや CLI がセカンドスクリーンでログインを「ポーリング」できるようにします。Google の実装では、セッション全体がブラウザ間で転送可能であり、認証サーバーは同意 URL の client_id と scope が device_code が発行されたものと一致するかどうかを確認せず、prompt=none はすべてをワンクリックで目に見えないアカウント乗っ取りに変えました。/u/swinglr による投稿