check oauth state parameter