Как cookie переходят с сайта на сервис авторизации

При авторизации через сторонний сервис (например, OAuth) куки передаются через редиректы:

1. Пользователь кликает "Войти через Google" → сайт перенаправляет браузер на accounts.google.com с параметрами client_id, redirect_uri и др.

2. Google устанавливает свои куки в домене .google.com при первом посещении (если их нет)

3. После успешной аутентификации Google делает редирект обратно на сайт (redirect_uri) с кодом авторизации

Пример редиректа:

// Исходный сайт перенаправляет:
window.location.href = `https://accounts.google.com/o/oauth2/auth?
  client_id=YOUR_CLIENT_ID&
  redirect_uri=${encodeURIComponent('https://your-site.com/auth/callback')}&
  response_type=code`;

Куки передаются автоматически браузером, так как относятся к одному домену (.google.com). Это стандартное поведение браузера - отправлять куки при запросах к домену, для которого они установлены.