2.0ではIdPの仕様について言及されていないので、ここでは唯一、サインイン・プロセスの問題を扱う(ただし非対話)。†クライアントにユーザID/パスワードが渡る。トークン取り消しが機能しない。認可プロセスを制御できない。†ユーザID/パスワードの漏洩ユーザID/パスワードの盗難ユーザID/パスワードの盗聴ユーザID/パスワードのオンライン推測Client側でのパスワードの露見アクシデント非対話的問題を突いた攻撃。Serverが同じ組織に利用されているケースユーザに異なるサービスに同じユーザID/パスワードを使用しないように促す。†SSL/TLSを利用する。平文認証を使用しない代替認証を使用する。†クライアントが十分な保護を提供していない場合、偶発的に起きる。他のフローを使用する。悪意のあるClientが、不要に大きなscopeを持ったトークンを取得できる。悪意のあるClientが、不要に大きなscopeを持ったトークンを要求する。他の(対話的)フローを使用する。Ownerに通知する。他の(対話的)フローを使用する。当該フローでrefresh_token発行しない。Ownerに通知する。†サインイン安全なパスワードポリシー設定する。ロックアウト、タールピット(一時的ロック)を使用する。CAPTCHAを使用する。他のフローを使用する。クライアント認証を併用する。Credentialsで説明したものと同様だが、ユーザID/パスワードは使用しないため、非対話的問題を突いた攻撃の考慮事項に限定される。