Механизм авторизации устройств из RFC 8628 позволяет телевизору или командной строке "опрашивать" вход во втором экране. В реализации Google вся сессия была переносимой между браузерами, сервер авторизации никогда не проверял, соответствовали ли client_id и scope в URL согласия тем, для которых был выдан device_code, а prompt=none превратил все это в однократный, невидимый захват аккаунта. отправлено пользователем /u/swinglr