11장. OAuth를 시스템 브라우저로

native app은 embedded WebView 로그인 대신 external user-agent와 Authorization Code+PKCE를 사용한다(RFC 8252). state, nonce, code verifier, exact redirect를 검증한다. custom scheme보다 claimed HTTPS universal/app link를 우선 검토한다.

provider console에 iOS bundle ID, Android package와 signing certificate fingerprint, redirect를 환경별 등록한다. debug fingerprint와 Play app-signing fingerprint를 혼동하지 않는다.