github oauth登录核心三步：接收code、换access_token、调api获取用户信息；需严格匹配redirect_uri、code用c.query安全获取、token接口必须post并带accept: application/json头、用户信息接口必须用authorization: bearer头。
直接用 gin 做 GitHub OAuth 登录，核心就三步：接收 code、换 access_token、调 API 拿用户信息。中间任何一环出错，都会卡在重定向或 401，不是配置错就是请求头/参数漏了。
GitHub OAuth App 配置必须匹配 redirect_url
这是最常踩的坑——本地开发时填了 http://localhost:8080/callback，但 Gin 路由注册的是 /github/callback，或者反向代理后实际访问域名是 https://myapp.com，而 GitHub 后台只写了 http://localhost:8080。GitHub 会严格校验回调地址完全一致（包括协议、端口、路径），不匹配就直接报 redirect_uri_mismatch 错误。
确保：
- Github OAuth App 的
Authorization callback URL和你 Gin 中构造的跳转地址完全一致 - 如果走 Nginx 或 Cloudflare，
redirect_url必须是用户浏览器最终看到的地址，不是内网地址 - 开发环境建议统一用
http://localhost:8080/github/callback，避免协议混用
用 gin.Context.Query("code") 安全获取授权码
Github 回调时会在 URL query string 里带上 code 参数，比如 http://localhost:8080/github/callback?code=abc123...。别用 ctx.Request.URL.Query().Get("code") 手动解析，容易漏空值或编码问题。
正确做法是直接用 Gin 提供的封装：
r.GET("/github/callback", func(c *gin.Context) {
code := c.Query("code")
if code == "" {
c.String(400, "missing code")
return
}
// 后续用 code 换 token
})
注意：c.Query() 自动做 URL 解码，且返回空字符串而非 panic，适合边界判断。
POST /login/oauth/access_token 必须带 Accept: application/json
GitHub 的 token 接口要求明确声明 Accept: application/json，否则返回 HTML 页面（含错误提示），导致后续 json.Unmarshal 失败，解出来是个空 map 或 panic。
监控一个或多个 GitCode 仓库的 PR，通过 OpenClaw Gateway 自动执行 AI 审查，发布 PR 评论，并发送钉钉和企业微信通知。
完整请求示例（含关键头和参数）：
url := "https://github.com/login/oauth/access_token"
data := url.Values{
"client_id": {conf.ClientId},
"client_secret": {conf.ClientSecret},
"code": {code},
}
req, _ := http.NewRequest("POST", url, strings.NewReader(data.Encode()))
req.Header.Set("Accept", "application/json")
req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
resp, _ := http.DefaultClient.Do(req)
// ... 读 body 并 json.Unmarshal
漏掉 Accept 头，响应体是类似 error=bad_verification_code&error_description=... 的 form-encoded 字符串，不是 JSON。
access_token 换用户信息要用 Authorization Bearer 头
拿到 access_token 后，调 https://api.github.com/user 获取用户资料时，必须用 Authorization: Bearer xxx，不是 token=xxx 查询参数，也不是 Basic 认证。
常见错误写法：
-
GET /user?access_token=xxx→ GitHub 已废弃该方式，返回 401 -
Authorization: token xxx→ 少了Bearer前缀，401
正确写法：
req, _ := http.NewRequest("GET", "https://api.github.com/user", nil)
req.Header.Set("Authorization", "Bearer "+accessToken)
req.Header.Set("Accept", "application/vnd.github.v3+json")
resp, _ := http.DefaultClient.Do(req)
// ... 解析 resp.Body
另外，Accept 头推荐显式设置为 application/vnd.github.v3+json，避免 API 版本歧义。
整个流程里最容易被忽略的是：GitHub 的 token 接口只接受 POST + form-data，而用户信息接口只认 Bearer 头 —— 两个 endpoint 的认证方式完全不同，不能复用同一套请求逻辑。
