Это работает немного иначе:
1. Скрипт получает url (куда идет 302).
2. Скрипт отдает этот url пользователю, который авторизируется сам своим логином и паролем (которые скрипт не получает)
3. Потом скрипт получает некий токен от сервиса, с помощью которого этот скрипт может заходить на те ресурсы аккаунта, которые разрешил пользователь при авторизации в #2.
Профит в том, что пользователь не отдает свой пароль. И так же пользователь может в любой момент де-авторизировать этот токен если он больше не хочет что бы скрипт имел этот доступ.
Если нужно авторизироваться именно с логином и паролем самим скриптом, то это уже не OAuth надо делать, а парсить формы напрямую. Это тот еще гиморой и бубны. Особенная «радость» наступает когда сервис начинает делать мелкие изменения в html коде время от времени.