Как работает вход через провайдера

Это OpenID Connect поверх OAuth 2.0, поток Authorization Code с PKCE. Приложение генерирует случайный code_verifier, считает от него SHA-256 и редиректит пользователя на провайдера с client_id, redirect_uri, нужными scope, code_challenge и случайным state. Пользователь логинится у провайдера, соглашается дать доступ, и провайдер редиректит обратно с одноразовым code и тем же state. Клиент проверяет, что state совпадает, и обменивает code вместе с исходным code_verifier на токены. Провайдер сверяет хеш, и только тогда выдаёт access_token, а в OIDC ещё id_token, где лежат данные пользователя. Дальше бэкенд обычно заводит свою сессию. Implicit flow, где токен сразу приходил в URL, сейчас не используют: токен светился в истории и логах, а PKCE решает ту же задачу безопасно.