認可リクエストと実際の認可を行うデバイスが異なる事。client_secret代替として使用する。(紐付けのタメのuser_codeは、実際の認可を行うデバイスから入力する)中間者攻撃Device購入者は、Deviceと開発・販売元が信頼できると期待している。これがハズれると、中間者攻撃が成立してしまうことがある。validation_uri_completeを使用すると、フィッシング攻撃が成立してしまうことがあるので使用しない。認可レスポンスのexpires_inを、いい塩梅に設定する(長過ぎず、短過ぎず)。user_codeの盗難セッションスパイショルダーハッキングのような。ディスプレイでか過ぎとか無いよね。ブートストラップ通信チャネルは、デバイスの近くでのみ有効なものを選択する(見る、聞く、BLE)。†2019年8月にDraftからRFC化がされている。