redirecturl必须逐字节匹配平台注册值，state须安全生成并绑定session恒定比对，exchange需传带超时的context并细判*oauth2.retrieveerror；微服务中redirecturl易因域名端口变化失效，state缺失导致csrf，exchange错误常因context丢失或body被提前读空。
RedirectURL 必须和平台注册值逐字节一致
微服务部署后域名、端口、路径常变，但 OAuth2 平台（GitHub/Google/微信）只认你后台填的那串字符串——协议、域名、端口、路径、末尾斜杠，一个字符都不能差。填错就 invalid_request 或静默 400，错误体里通常不告诉你哪错了。
- 本地开发统一用
http://localhost:8080/callback，别混用127.0.0.1或省略端口 - 生产环境必须是
https://example.com/auth/callback，且证书有效；Nginx 反向代理时注意是否透传了X-Forwarded-Proto - 微信开放平台要求
redirect_uri路径部分 URL 编码（如%2Fauth%2Fcallback），GitHub 和 Google 不接受编码——不能复用同一套拼接逻辑 - 多环境用
os.Getenv("OAUTH_REDIRECT_URL")注入，别在代码里写if env == "prod"分支
state 必须自己生成、绑定 session、恒定时间比对
golang.org/x/oauth2 包完全不处理 state，漏掉它等于裸奔 CSRF：攻击者可伪造跳转链接，把用户的 code 劫持到自己服务器换 access_token。
- 生成用
crypto/rand.Read（不是math/rand），取 32 字节后hex.EncodeToString，长度 ≥ 32 字符 - 存入 session 时 key 必须绑定当前会话 ID，例如 Redis key 为
"oauth_state:" + sessionID，不能全局共享 - 回调 handler 中先查 session 是否存在且未过期，再用
subtle.ConstantTimeCompare恒定时间比对，比对完立刻session.Delete("oauth_state") - 别往
state里塞next=/admin或user_id=123——它只用于防重放；业务跳转地址走后端 session 或 JWT payload
Exchange 必须传 r.Context() 并细判 *oauth2.RetrieveError
conf.Exchange(r.Context(), code) 失败时，常见报错如 invalid_grant、bad_verification_code、空 token，90% 是这三件事没做对：
- 传的是
r.Context()，不是context.Background()；否则超时、取消控制全失效 - 提前读
r.Body：Gin/Echo 等框架中间件（如日志、JWT 解析）可能已把 body 读空，导致后续 Exchange 失败 - 错误类型很关键：可能是网络超时、IDP 返回的 JSON 错误（如
{"error":"invalid_grant"}），也可能是解析失败；必须判断是否为*oauth2.RetrieveError，并检查其ErrorResponse.Error字段
微服务间用户上下文传递不能靠原始 JWT 直传
前端把原始 JWT 直传给每个微服务，风险高、权限粒度失控、登出难同步。更稳妥的做法是让 API 网关统一校验，注入可信头信息。
- Auth Server（如 Keycloak/Dex）签发 ID Token 和 Access Token
- API 网关（如 Kong/Traefik 或自研 Go 网关）拦截请求，验证 Access Token，注入
X-User-ID、X-Roles等头，再转发 - 下游微服务只信任网关注入的头，不自行解析 JWT——避免重复实现校验逻辑、密钥轮换、aud 校验等复杂点
- 登出由 Auth Server 主动失效 session，网关配合清空缓存或短时黑名单，而非依赖 JWT 自身过期
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
