OK. Use /xhs/oauth/callback