golang.org/x/oauth2 不能用作授权服务器，因其仅为客户端sdk，不实现/authorize或/token等服务端接口；需选用go-oauth2/oauth2等服务端框架，并完成管理器初始化、客户端注册及路由绑定。
不能直接用 golang.org/x/oauth2 搭建授权服务器，它只提供客户端能力；要自建服务端，必须选 go-oauth2/oauth2 或 openshift/osin 这类服务端框架。
为什么 golang.org/x/oauth2 不能当授权服务器用
这个包定位非常明确：它是一个 OAuth2 客户端 SDK，只负责「向别人申请 token」。所有函数如 Config.Exchange()、Config.AuthCodeURL() 都是发请求给第三方（Google/GitHub 等）的，内部没有 HTTP 路由、没有存储、不实现 /authorize 或 /token 接口。
常见误用场景：
- 试图用它监听
/callback并自己解析 code —— 它根本不处理 HTTP 请求 - 调用
Config.Token()传入自己的 code —— 这个 code 是从你自己的授权页来的，但包只会把它发给 Google 的TokenURL，必然 400 或 404 - 以为设置
RedirectURL就能启动一个服务 —— 它只是构造 URL 字符串，不启动任何 server
go-oauth2/oauth2 启动最小可行授权服务的关键三步
该库提供完整服务端骨架，但需手动注册路由、注入存储、配置客户端。不是开箱即用，但结构清晰。
核心步骤：
- 用
manage.NewDefaultManager()创建管理器，再调用MustTokenStorage()绑定存储（如store.NewMemoryTokenStore()仅用于开发） - 通过
store.NewClientStore()注册客户端信息，并用manager.MapClientStorage()关联 —— 注意ClientID和ClientSecret必须与前端发起请求时一致 - 调用
server.NewDefaultServer(manager)实例化服务，然后手动注册 handler：http.HandleFunc("/authorize", srv.HandleAuthorizeRequest)和http.HandleFunc("/token", srv.HandleTokenRequest)
漏掉任一注册，对应端点就 404；不设 ClientStore，所有 /authorize 请求都会因 client_id 无效被拒。
客户端重定向地址（RedirectURL）必须严格匹配注册值
这不是可选项，是协议强制要求。授权服务器在 /authorize 请求中会校验 redirect_uri 参数是否与客户端注册的 RegisteredRedirectUri 完全相等 —— 协议、域名、端口、路径、末尾斜杠，全部逐字符比对。
典型翻车点：
- 本地开发填了
http://localhost:8080/callback，但前端跳转时拼成http://127.0.0.1:8080/callback - 生产环境用了 HTTPS，但注册值写的是 HTTP
- 注册值带查询参数（如
?next=/dashboard），而实际跳转没带，或反过来
调试建议：在 HandleAuthorizeRequest 前加日志，打印收到的 redirect_uri 和存储中查到的注册值，肉眼比对。
内存存储仅限开发，上线必须换持久化方案
store.NewMemoryTokenStore() 和 store.NewClientStore() 全部数据驻留内存，进程重启即丢失。上线后会导致：
- 已发放的 access_token 全部失效，用户强制重新授权
- 客户端信息丢失，所有
/authorize请求报 client_id unknown - 无法支持多实例部署（token 存在 A 实例，B 实例收不到）
生产推荐路径：
- 用
go-oauth2/oauth2自带的store.NewRedisTokenStore()+ Redis 集群，简单可靠 - 若必须用 MySQL，需自行实现
TokenStore接口，注意SaveAccess()中AccessData.ExpiresIn是秒数，要转成 UTC 时间戳存 - 不要在
LoadAccess()中做额外 DB 查询（如 join 用户表）—— 授权服务器只管 token 有效性，用户信息由资源服务器自己查
真正容易被忽略的，是 token 存储的并发安全。内存 store 是线程安全的，但你自己写的 MySQL 实现如果没加行锁或乐观锁，高并发下可能重复发放同一 token 或覆盖过期状态。
