Security fix found and suggested by Alyssa Milburn.
This actually allows the nonce check to force the login process to error out entirely.  Without this, the system accepts forged last-step requests that contain valid openid URIs.