<div dir="auto">Hi<div dir="auto"><br></div><div dir="auto">What would be the best way to register an app on a mobile device? </div><div dir="auto"><br></div><div dir="auto">Using pkce as in  BCP 212 is great. However, if you want to implement a layered permission model, it will hit a roadblock. </div><div dir="auto"><br></div><div dir="auto">The flow I can think of is like this. </div><div dir="auto"><br></div><div dir="auto"><div dir="auto">1. Use pkce to get an access token. </div><div dir="auto">2. Send the access token to client registration end point to obtain client ID on the client secret. </div><div dir="auto"><br></div><div dir="auto">Thereafter, the app behaves as a confidential client. </div><div dir="auto"><br></div><div dir="auto">What do you think?</div><div dir="auto"><br></div><div dir="auto">Nat Sakimura</div></div></div>