Спасибо за такую детальную тему! Сейчас понял, что OAuth — это не просто кнопка входа, а куча мелких, но важных штук, которые надо держать в голове. Особенно зацепило про редиректы и state — именно такие простые на первый взгляд вещи могут стать дырой. PKCE тоже явно не для красоты придумали, с ним реально спокойнее. В общем, OAuth — это не “настроил и забыл”, а постоянный контроль и аккуратность.