엔지니어, 특히 백엔드 엔지니어를 위한 OAuth 2.0 Device Flow 설명

문제스마트 TV, IoT, CLI 처럼 입력 수단이 빈약한 기기에서 긴 패스워드 입력은 비현실적이고 위험하다.

접근디바이스가 /oauth/device_authorization 으로 device_code 와 user_code 를 받고, 사용자가 다른 기기로 짧은 코드를 입력한 뒤 디바이스가 /oauth/token 을 폴링한다. 서버는 authorization_pending, slow_down, expired_token, access_denied, success 다섯 응답을 구분한다.

결과verification 엔드포인트의 rate-limit, slow_down 시그널 존중, 사용 즉시 코드 폐기 같은 구현 디테일이 핵심이다. PKCE 와 풀려는 문제 자체가 다르다는 점도 분명히 한다.