管理回流

第一方应用（例如账户控制台）会把用户送到 auth 页面完成敏感操作，完成后 auth 页面再把用户送回去。回跳地址由客户端提供，服务端必须先确认它属于某个已注册的第一方客户端——否则 auth 页面就是一个挂在可信域名下的开放重定向器。

请求

参数	类型	必填	说明
`return_to`	string	✅	回跳地址，1–2048 字符
`client_id`	string	可选	第一方客户端标识，1–128 字符

{ "success": true, "return_to": "https://console.example.com/security", "client_id": "console" }

规则	说明
精确匹配优先	与已登记的 `redirect_uri` 完全一致时直接通过
同源允许	同源地址可接受，让第一方应用保留自己的路由
拒绝非 https	回环地址除外
拒绝带用户信息	形如 `https://user:pass@host/` 的地址一律拒绝

这一步不要求提权

它只回答「该往哪跳」，既不读也不改任何账号数据。真正的敏感操作在各自端点上各自要求提权；这里提前要求，只会让用户还没开始操作就先验一次身份。