specify app callbackUrl or pass redirect_uri parameter for authorization_code grant_type