安装应用时不停跳回授权页

先把判断放在前面：OAuth 回调里没有正确保存或校验 shop / hmac / state，导致每次都被判定为未安装。

1处理顺序

1. 回调地址必须与 Partner 后台配置完全一致，包括结尾斜杠。
2. 校验 hmac 时用 API secret 对 query 参数排序后计算，不要带 signature。
3. 保存 token 时以 shop 为主键，循环往往是因为没存上。
4. state 存 session 并校验，防止 CSRF，也便于排查。
5. 在回调里输出日志确认走到了「保存 token」这一步。