Провайдер шле код авторизації на redirect_uri із запиту. Якщо його не звіряють зі списком, підстав свій домен - і код жертви прилетить тобі. Порівняй із версією, що приймає лише зареєстровані адреси