Интересно, что даже при всех этих сложностях многие просто ставят галочки и думают, что всё защитит. Но как показали обсуждения, мелочи вроде exact match для redirect_uri и грамотного state решают очень многое. Видимо, чтобы не было проблем, лучше не экономить время на этих "мелочах" и делать всё по уму с самого начала. OAuth явно не про быструю настройку.