攻击者不需要任何账号、不需要任何认证，只发一次 POST，就能生成一条挂着 IdP 官方域名的"合法"授权链接。 受害者在这条链接上完成一次登录，授权码便落入攻击者之手——而攻击者手里，还握着把它兑换成受害者身份的钥匙。 本文以无害化验证为前提，完整拆解"redirect_uri 无白名单 → 授权码劫持 → 账号接管"的利用链，从协议原理、参数解析细节到每