Полностью согласен с тем, что OAuth — это не просто кнопка входа и не хватает только базовых настроек. Самая распространённая ошибка — халатная проверка redirect_uri, а без нормального PKCE злоумышленникам открывается зелёный свет. State там нужен не просто для галочки, а с жёстким контролем. В итоге безопасность зависит от каждой мелочи, и пропуск одного шага может обернуться серьёзной дырой.