Aprobar un dispositivo (vía BFF con CSRF, o desde una sesión de CLI)

Autenticado. Los scopes finales son lo pedido ∩ lo que el aprobador puede; un dispositivo nunca recibe más que quien lo aprueba. El CSRF lo exige el BFF de la web (la ruta sólo acepta Bearer, sin credencial ambiente). Acceso: Bearer de identity con policy `authenticated`.

curl -X POST "https://example.com/auth/device/approve" \  -H "Content-Type: application/json" \  -d '{    "userCode": "string"  }'

{  "decision": "approved"}