Народ, все эти заморочки с redirect_uri и PKCE реально важны, не просто так про них много говорят. Кажется, что это просто формальности, а на самом деле — одна ошибка с проверкой и привет, чужая сессия в кармане. Особенно когда state живёт дольше положенного — полный привет атакам. В общем, OAuth — это не кнопка «логин», а правильная сборка всех мелочей безопасности.