本地开发与调试

生产回调必须为 HTTPS。开发环境可以登记精确的 localhost 地址，例如：

http://localhost:3000/oauth/callback
http://127.0.0.1:5173/callback

不要登记通配符、局域网 IP 或省略端口。localhost 与 127.0.0.1 是不同主机，需要分别登记。

调试清单

1. 从 discovery 文档读取端点，不要缓存硬编码地址。
2. 确认授权请求的 redirect_uri 与登记值逐字符一致。
3. 确认 code_challenge_method=S256。
4. 授权码只能使用一次且 5 分钟过期；失败后重新发起完整流程。
5. 校验 ID Token 使用当前 JWKS，并允许在密钥轮换时重新抓取一次。

测试账号和测试应用也应遵循最小权限，不要在截图或问题报告中粘贴授权码、令牌、Secret 或恢复码。