Oauth1.0 中 redirect url 污染是什么意思

Question

看网上说的，用户通过第三方应用访问开放平台的用户信息时，第三方应用先验证自己的身份（通过appkey 之类的），然后引导用户授权（这个授权页面应该是开放平台提供的。比如微信提供了一个带授权按钮的页面），用户授权通过，认证服务器（sp）会给第三方应用一个code，第三方应用根据code去sp拿access token。如果服务提供方不校验redirect url，容易被劫持access token去窃取用户信息，甚至被钓鱼？
想问一下一般怎么修改这个redirect url的？
看得模模糊糊的，对原理不太清楚
是不是任何拿到code的应用都可以去换access token，只要是在sp注册过的应用？