Короче, OAuth — дело тонкое, ошибка в проверке редиректа или забывчивость с PKCE могут превратить вашу защиту в дырку. Главное — строгий exact match для redirect_uri, нормальный state и серьёзный контроль над токенами, иначе смысла от протокола почти нет.