Ох, помню времена, когда OAuth казался просто кнопкой “войти через соцсеть”, а тут — целая тульпа подводных камней. Сейчас ясно, что без жесткой проверки redirect_uri и нормального PKCE — это просто профанация безопасности. Особенно когда вся надежда на state, а он живёт дольше, чем надо. В общем, OAuth — не волшебство, а рутинная борьба с дураками, в которой мелочи решают всё.