使用 golang.org/x/oauth2 手动实现授权码流程最稳，关键在于 state 必须唯一且防 csrf、redirecturl 必须字符级匹配平台注册值、id token 需校验 issuer/audience/signature，客户端凭证模式不可混用 redirecturl。
直接用 golang.org/x/oauth2 手动走通授权码流程，比套任何封装框架（如 goth、gocloak）更稳——尤其当你只做登录鉴权，不管理用户列表或角色。
AuthCodeURL 生成跳转链接时 state 必须非空且唯一
state 不是“可选参数”，是防 CSRF 的强制手段。空字符串、固定字符串、或复用旧值，都会导致回调被拒绝或静默失败。
- 生成：用
crypto/rand.Read读 32 字节，再hex.EncodeToString，别用math/rand - 存储：必须绑定当前会话，比如存进 Redis，key 为
"oauth_state:" + sessionID，不能全局 map 共享 - 传入：
config.AuthCodeURL(state)，这个state字符串要原样出现在回调 URL query 中 - 验证：回调收到
r.URL.Query().Get("state")后，先查是否存在且未过期，再用subtle.ConstantTimeCompare比对，完事立即删
Exchange 换 token 前 RedirectURL 必须一字不差匹配平台注册值
GitHub、Google、微信、Keycloak 全部校验 RedirectURL 的协议、域名、端口、路径、末尾斜杠——差一个字符就返回 invalid_request，且错误响应体里才写明原因。
- 本地开发必须填
http://localhost:8080/callback，代码里不能写成http://127.0.0.1:8080/callback或少斜杠 - 多环境靠
os.Getenv("OAUTH_REDIRECT_URL")注入，别用 if/else 判断拼接 - 微信要求
redirect_uri在AuthCodeURL参数中做 URL 编码（如%2Fcallback），GitHub 不接受编码——得按平台文档单独处理 - 调试时直接
curl -v "https://github.com/login/oauth/authorize?client_id=xxx&redirect_uri=http%3A%2F%2Flocalhost%3A8080%2Fcallback"看重定向头是否命中
拿到 token 后解析 ID Token 必须校验 issuer、audience、signature 三项
仅靠 jwt.Parse() 成功不代表 token 可信。OIDC 场景下（如 Keycloak、Google），ID Token 是身份凭证，漏校验任意一项都可能被伪造登录。
-
issuer必须等于你配置的 Identity Provider 地址，比如"https://keycloak.example.com/auth/realms/myrealm" -
audience（aud）必须包含你的ClientID，且不能是通配符 -
signature需用 provider 提供的公钥（JWKS endpoint）验签，不能跳过或硬编码 PEM - scope 至少含
"openid"，否则 Keycloak 返回的是纯access_token，没id_token字段，Parse直接 panic
客户端凭证模式别混用 RedirectURL
服务间调用（如 API 网关调用户服务）走客户端凭证模式，和用户登录完全无关。误把 oauth2.Config 用于此场景，会因 RedirectURL 校验失败或 code 参数缺失而报 unauthorized_client。
- 单独建一个 Config，
RedirectURL设为空字符串或干脆不设（结构体字段可为零值） - 用
conf.Client(ctx, nil).Post(...)直接发请求，靠ClientID和ClientSecret换 token - 不要在该流程里调
AuthCodeURL或Exchange，它们只属于授权码模式
最常被忽略的其实是 state 生命周期和 RedirectURL 的字符级一致性——不是“差不多就行”，而是 HTTP header 里那个 Location 值必须和后台注册项逐字相等。线上出问题，90% 是这两处没对齐，而不是逻辑写错。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
