Golang实现OAuth2授权_使用Golang-jwt框架流程-Golang-PHP中文网

golang-jwt/jwt/v5 不参与 oauth2 的“code → token”流程，仅负责 jwt 的生成、签名与校验；oauth2 交互必须用 golang.org/x/oauth2，jwt 用于内部服务间信任传递。

golang实现oauth2授权_使用golang-jwt框架流程

直接说结论：Golang 里 golang-jwt/jwt/v5 不参与 OAuth2 的“code → token”流程，它只负责 JWT 的生成、签名和校验；OAuth2 协议交互必须用 golang.org/x/oauth2，JWT 是你拿到 access_token 后，自己选择用它封装用户信息的可选环节。

OAuth2 流程中，`golang-jwt/jwt/v5` 到底在哪介入

它不介入授权码交换（Exchange）、不处理 RedirectURL 校验、不管理 state、也不解析服务商返回的原始 JSON 响应。它的唯一职责是：当你决定「自己签发一个内部 JWT 作为会话凭证」时，才用它构造和验证这个令牌。

典型场景是——用户通过 GitHub OAuth2 登录成功后，你的服务不直接透传 GitHub 的 access_token 给下游微服务，而是用 jwt.NewWithClaims 生成一个带 user_id、scope、exp 的新 JWT，再返回给前端。

OAuth2 负责「信任第三方」（如 GitHub 确认用户身份）
JWT 负责「内部信任传递」（你自己的服务之间用这个 token 互信）
二者是上下游关系，不是替代关系

`golang-jwt/jwt/v5` 签发 JWT 时必须注意的参数细节

如果你在 OAuth2 回调成功后生成 JWT，这几个字段不能拍脑袋填：

Golang Naming

Go（Golang）命名规范 — 包括包、构造函数、结构体、接口、常量、枚举、错误、布尔值、接收器、getter/setter、函数等。

下载

exp 必须设为 time.Now().Add(...).Unix()，别用 time.Now().Add(...).UTC().Unix() —— Go 的 Unix() 已是 UTC 时间戳，重复转 UTC 会导致过期时间错乱
iss（issuer）建议填你自己的服务域名，比如 "https://api.example.com"，便于后续审计和多租户隔离
aud（audience）若下游服务有明确接收方，应写死为该服务标识（如 "order-service"），否则校验时会失败
别把敏感字段（如密码哈希、完整邮箱）塞进 payload；user_id + role + exp 足够支撑大多数鉴权逻辑

为什么 `Parse` 失败却只报 `token is invalid` 没有具体原因

jwt.Parse 默认只返回一个笼统的 error，实际错误类型被包装了。你需要显式断言才能看到真实问题：

token, err := jwt.Parse(tokenString, keyFunc)
if err != nil {
    if errors.Is(err, jwt.ErrTokenExpired) {
        // 处理过期
    } else if errors.Is(err, jwt.ErrTokenMalformed) {
        // 处理格式错误（比如少一段）
    } else if errors.Is(err, jwt.ErrTokenInvalidClaim) {
        // claim 校验失败（如 aud 不匹配）
    }
    return
}

常见真因包括：