// ① ユーザーをこのURLにリダイレクト
GET https://api.onigiri3.com/oauth/authorize
  ?client_id=app_xxxx
  &redirect_uri=https://myapp.com/callback
  &response_type=code
  &scope=identify email profile
  &state=random_csrf_token

// ② コールバックで code を受け取る
GET https://myapp.com/callback?code=xxxx&state=xxxx

// ③ サーバー側でトークン交換
POST https://api.onigiri3.com/oauth/token
{
  "grant_type":    "authorization_code",
  "code":          "受け取ったcode",
  "client_id":     "app_xxxx",
  "client_secret": "secret_xxxx",
  "redirect_uri":  "https://myapp.com/callback"
}

// ④ ユーザー情報を取得
GET https://api.onigiri3.com/oauth/userinfo
Authorization: Bearer <access_token>