go oauth2 登录首要问题是正确初始化 oauth2.config，必须严格配置客户端id、密钥、授权/令牌端点及完全匹配的 redirect url，且需按平台设置正确 scopes、安全管理 client_secret、实现 state csrf 防护、正确使用 context 和 tokensource 续期，并用 reusetokensource 避免并发刷新冲突。
Go 用 golang.org/x/oauth2 做登录，第一步不是写 handler
绝大多数人卡在初始化配置就出错，不是代码逻辑问题，而是没搞清 OAuth2 流程里「谁该持有什么」。oauth2.Config 必须包含客户端 ID、密钥、授权端点、令牌端点和 redirect URL——这五个值缺一不可，且 redirect URL 必须和你在 OAuth 提供商（如 GitHub、Google）后台填的一模一样，包括 http:// 或 https://、端口、结尾斜杠。
- 本地开发常用
http://localhost:8080/callback，但 GitHub 不接受带端口的 localhost，得用http://127.0.0.1:8080/callback或注册一个 dev 域名 -
Config.Scopes别乱加：GitHub 要[]string{"user:email"}，Google 要[]string{"https://www.googleapis.com/auth/userinfo.email"}， scopes 错了会静默失败，返回空用户信息 - 别把
client_secret硬编码进 main.go；用环境变量或配置文件加载，否则上线后密钥泄露风险极高
callback handler 里 Exchange 报 invalid_request 怎么办
这是最常遇到的错误，表面是请求格式不对，实际几乎全是 redirect URL 不匹配或 state 参数校验失败导致的。OAuth2 规范要求必须用 state 防 CSRF，而 golang.org/x/oauth2 默认不帮你生成/验证它——你得自己存、传、比对。
- 在跳转授权页前，生成随机字符串（比如用
crypto/rand），存进 session 或加密 cookie，同时作为oauth2.Config.AuthCodeURL("your-state")的参数传出去 - 在 callback handler 里，先从 URL query 取
state，再和 session 里的比对；不一致直接http.Error(..., 400) -
oauth2.Config.Exchange(r.Context(), r.URL.Query().Get("code"))必须用r.Context()，不能用context.Background()，否则超时控制失效 - 如果用 Gin/Echo 等框架，注意中间件可能提前读取了
r.Body，导致Exchange内部 POST 请求体为空，报错
拿到 token 后怎么安全存、怎么续期
Token 不是拿完就完事。它自带 Expiry 时间，过期后调 tokenSource.Token() 会自动刷新——但前提是初始化时用了 config.TokenSource(ctx, token)，而不是直接存 token.AccessToken 字符串。
- 别用全局变量存
*oauth2.Token；每个用户应有独立的oauth2.TokenSource实例，基于其 token 初始化 - 刷新失败时（比如 refresh_token 过期或被撤回），
Token()会返回 error，不是静默重试；必须显式处理，比如清掉用户登录态 - 如果用 Redis 存 token，序列化时保留
AccessToken、RefreshToken、Expiry和TokenType四个字段，少一个就续期失败 - Google 的 token 默认 1 小时过期，GitHub 的 access_token 永不过期（但可手动 revoke），行为差异直接影响你的存储策略
用 oauth2.ReuseTokenSource 防止并发重复刷新
多个 goroutine 同时调 TokenSource.Token() 时，若 token 已过期，可能触发多次并行刷新请求，导致部分请求失败或额度超限。这不是 bug，是设计使然——标准库默认不加锁。
- 用
oauth2.ReuseTokenSource(oldToken, tokenSource)包一层，它会在刷新期间阻塞其他 goroutine，等第一个刷新完成后再复用结果 - 别在每次 HTTP 请求里都新建
ReuseTokenSource；它应该和用户 session 绑定，生命周期一致 - 注意：如果底层
tokenSource是自定义实现（比如从数据库读 token），要确保它本身线程安全；否则ReuseTokenSource也救不了
OAuth2 在 Go 里没有“开箱即用”的登录按钮，所有关键路径都依赖你对 state、scope、token 生命周期和并发模型的理解。最容易漏的是 redirect URL 校验和 state 防护——这两处一旦出错，轻则流程中断，重则账户劫持。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
