logto是oidc provider而非oauth2中继，需通过social connector纳管github/google等第三方登录，golang.org/x/oauth2对接时须手动配置oauth2.config，严格匹配redirecturl、使用标准oidc端点、校验id token签名及iss/aud字段。
Logto 不是 OAuth2 提供商，而是 OIDC 认证服务（OIDC Provider），它本身需要你作为客户端去对接——它不能“中继”其他平台的授权；所谓“安全中继站”是常见误解。你要做的不是让 Logto 去代理 GitHub/Google 登录，而是用 Logto 替代它们，或在 Logto 中配置社交连接器（Social Connector）来统一纳管第三方登录入口。
Logto 作为 OIDC Provider 时，golang.org/x/oauth2 怎么配
Logto 提供标准 OIDC 端点，可直接用官方 OAuth2 库对接，但必须手动构造 oauth2.Config，不能复用 google.Endpoint 等预设：
-
RedirectURL必须与 Logto 后台「应用」中注册的完全一致：协议、域名、端口、路径、末尾斜杠一个都不能少，例如https://app.example.com/auth/callback -
Endpoint要从 Logto 控制台获取真实地址，通常是https://<your-tenant>.logto.app/oidc</your-tenant>，不是https://logto.io/oidc -
Scopes至少包含"openid"和"profile"；如需邮箱加"email"；Logto 不支持"https://www.googleapis.com/auth/userinfo.email"这类 Google 专属 scope - Logto 的
AuthCodeURL支持oauth2.SetAuthURLParam("prompt", "consent")或"login"，用于强制重新认证
为什么不能把 Logto 当成“中继”，而要配 Social Connector
Logto 自身不转发用户到 GitHub 或微信；它只提供统一登录页。若想支持多平台登录，必须在 Logto 后台启用对应 Social Connector（如 GitHub、Google、微信公众号），并填入你在各平台申请的 ClientID / ClientSecret。Logto 会用自己的 OIDC 流程封装这些第三方流程，对外暴露统一的 /authorize 和 /token 接口。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 你后端只跟 Logto 对话，不用分别处理 GitHub 的
state、微信的redirect_uri编码规则、Google 的 PKCE 验证 - 所有第三方登录最终都返回 Logto 签发的 ID Token 和 Access Token，结构统一、签名可验、aud 可控
- 如果跳过 Logto Social Connector，自己在 Go 里同时集成 GitHub + 微信 + Logto 三套 OAuth2 流程，
state存储、session 绑定、错误分支处理会爆炸式增长
conf.Exchange() 失败时，Logto 返回的 error 长什么样
Logto 的 token endpoint 在失败时不返回标准 RFC 错误码（如 invalid_grant），而是返回 JSON body + HTTP 400，且 oauth2.RetrieveError 类型判断容易漏掉。必须显式检查：
- HTTP 状态码是否为 400/401/403 —— Logto 常用 400 表示
invalid_code或invalid_redirect_uri - 响应 body 是否含
"code"字段（如"code": "invalid_code"），而不是依赖err.Error()字符串匹配 - 调用
conf.Exchange时必须传r.Context()，否则超时无法中断，Logto token 请求卡住会导致整个 handler hang 住 - Logto 的
token_endpoint默认要求client_secret，即使你开的是 public client，也得填（可设为空字符串，但字段不能缺失）
回调 handler 里校验 ID Token 是不是多余
不是多余，是必须。Logto 返回的 Access Token 是 opaque string，仅用于调用 Logto 自己的 /me 接口；ID Token 才是 JWT，含 sub、email、exp 等关键信息，且必须验证：
- 用 Logto 租户的 JWKS endpoint（如
https://<tenant>.logto.app/oidc/jwks</tenant>）动态获取公钥，不能硬编码 - 验证
iss必须等于租户 OIDC issuer URL（如https://<tenant>.logto.app/oidc</tenant>） - 验证
aud必须是你在 Logto 应用中配置的client_id，不是任意字符串 - Logto 的 ID Token 默认不含
nonce，所以不用校验 nonce —— 但如果你启用了 PKCE，code_verifier必须在AuthCodeURL时传入，并在Exchange时透传
最易被忽略的是：Logto 的 /me 接口返回的用户数据不带邮箱确认状态，而 ID Token 的 email_verified 字段才是唯一可信来源。别只看 /me 的 email 字段就认为可用。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
