この問題について調査中です。
JS がエラーをスローするのは、/user-api-key に対する POST メソッドが 403 を返しているためです。また、コントローラー内の build_not_found_page メソッド が、事前読み込みされた値を保存する preload_anonymous_data メソッドを呼び出していないことが原因です。
auth_redirect パラメータを追加した際に、サーバーが <h1 class="title">Oops! That page is private.</h1> というレスポンスで 403 を返した理由については確信が持てません。クロスサイトスクリプティングの問題を検証するために、コールバック URL に同じドメインを使用し、HTTPS プロトコルも試しましたが、解決しませんでした。