keycloak oidc 配置必须严格匹配 go 应用的重定向 url，valid redirect uris 未配对会导致 invalid redirect_uri 或 400 错误；生产环境需完整填写 https 地址，结尾斜杠、协议、端口必须一致，且 gorilla/sessions 的 state 校验须严格比对。
Keycloak OIDC 配置必须匹配 Go 应用的重定向 URL
Keycloak 不会自动信任任意回调地址，Go 应用发起授权请求后若被拒绝，大概率是 Valid Redirect URIs 没配对。常见错误现象是浏览器跳转到 Keycloak 登录页后，点登录直接报 Invalid redirect_uri 或 400 错误。
- Go 服务启动地址为
http://localhost:8080，则 Keycloak 后台 Clients → Settings 中必须显式填入http://localhost:8080/callback（注意结尾斜杠是否一致） - 生产环境用 HTTPS？那
https://yourdomain.com/callback必须完整写入，Keycloak 默认不接受 HTTP 和 HTTPS 混用 - 如果用
gorilla/sessions存储 state，确保生成state的随机性足够强，且校验逻辑和 Keycloak 返回的state参数严格比对，否则会触发invalid_request
使用 go-keycloak-client 无法获取用户属性？检查 token scope 和 mapper 配置
调用 GetUserInfo() 返回空字段或 401 Unauthorized，不是 Go 代码写错了，而是 Keycloak 端没把用户属性注入 token 或 userinfo endpoint。
- 在 Keycloak Admin Console → Clients → Mappers → Create，添加
User Attribute类型 mapper，勾选Add to ID token和Add to access token，否则 Go 客户端解析不到自定义字段 - 默认只返回
sub、name、email等基础字段；要获取department或employee_id，必须手动映射，且属性名大小写需与用户 profile 里完全一致 - 如果用
goclient.GetToken()获取 token 后自行解析，注意 JWT 是 base64url 解码，不要用标准 base64；推荐用github.com/golang-jwt/jwt/v5解析，而非字符串切分
gorilla/sessions + Redis 存储 session 时，Keycloak logout 同步失效
用户在 Keycloak 管理后台点 Logout All Sessions，Go 应用仍认为用户已登录——这是因为 Keycloak 的 logout endpoint 不主动通知你的服务，而 gorilla/session 默认不监听 token 失效事件。
- 不能依赖客户端单点登出（SLO）自动清理本地 session；必须在 Go 服务中实现
/logout接口，调用 Keycloak 的POST /realms/{realm}/protocol/openid-connect/logout并传入refresh_token - gorilla/session 的 store 如果是 Redis，记得设置
Options.MaxAge与 Keycloak 的Access Token Lifespan对齐（比如都设为 300 秒），否则 token 过期了 session 还活着 - 更稳妥的做法：每次 API 请求前用
goclient.IntrospectToken()校验 access token 是否有效，但要注意频繁调用影响性能，适合关键操作前校验
Go HTTP 中间件校验 token 时，别忽略 audience 和 issuer 校验
仅验证 JWT 签名和过期时间，不校验 aud 和 iss 字段，会导致其他 realm 或 client 的 token 也能通过验证。
- Keycloak 的
iss固定为https://keycloak-host/auth/realms/{realm}（注意末尾无斜杠），硬编码进校验逻辑，别用环境变量拼接漏掉路径 -
aud字段默认是 client ID，但如果启用了Client Roles或Service Accounts，可能需要校验aud是否包含account或自定义 client 名 - 用
jwt.ParseWithClaims()时，传入的jwt.Claims实现必须覆盖Valid()方法，并显式检查VerifyAudience()和VerifyIssuer()，否则这些字段会被忽略
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
