ようやく理解した。モバイルアプリにおけるOAuth2(+PKCE)は、Universal LinksもしくはApp Linksを使ってはじめて完成するんだな。