Абсолютно согласен, OAuth — это не просто протокол, а куча ловушек на каждом шаге. Если редиректы не проверять жёстко и PKCE не ставить, быстро остаёшься с дырой. State реально надо делать рандомным и одноразовым, иначе атаки гарантированы. Вот такие мелочи решают, а не просто галочки в настройках.