oauth2客户端必须手动管理state防csrf，生成随机state存session或redis并校验；redirecturl须严格匹配平台配置；exchange()错误需区分处理；refresh_token需主动争取并妥善封装；各平台实现差异大，须抓包验证。
OAuth2客户端必须自己管理state参数防CSRF
不生成和校验 state 的 OAuth2 实现本质上是不安全的，Go 标准库 golang.org/x/oauth2 不自动处理它，得手动塞进 URL 并验证回调。常见错误是忽略 state 或用固定值（比如硬编码 "abc123"），这会让攻击者伪造授权请求。
实操建议：
- 生成随机
state时用crypto/rand.Read()，转成 hex 或 base64，别用math/rand - 把
state存到 session（如gorilla/sessions）或短期 Redis key，过期时间建议 ≤ 5 分钟 - 回调路由里先检查
state是否存在且未使用过，再调oauth2.Config.Exchange() - 如果用 Gin/Echo，别把
state放 query 参数后直接透传给下游——要先校验再丢弃
Config.RedirectURL 必须与 OAuth 提供方后台配置严格一致
哪怕多一个斜杠、少一个端口、HTTP/HTTPS 混用，都会触发 invalid_redirect_uri 错误。很多开发者本地调试时设成 "http://localhost:8080/callback"，上线却忘了改成 "https://app.example.com/callback"。
实操建议：
- 把
RedirectURL从配置文件或环境变量读取，不要硬编码在oauth2.Config{}初始化里 - 启动时用
url.Parse()校验格式，并确保 scheme + host + path 完全匹配 OAuth 平台登记的白名单 - 微信/钉钉等国内平台对
RedirectURL校验极严，不允许带 query 参数（如?next=/dashboard），只能在 state 里传跳转目标 - 测试时可用
net/http/httptest模拟回调，避免反复手动点授权页
Token 获取失败时 error 类型需区分处理
oauth2.Config.Exchange() 返回的 err 可能是网络错误、JSON 解析失败，也可能是 OAuth 提供方返回的业务错误（如 invalid_grant、code_expired）。直接打印或忽略会导致问题难定位。
实操建议：
- 先判断
err == nil，再检查token.Extra("error")和token.Extra("error_description")—— 很多 provider（如 GitHub、GitLab）把错误细节放在这里 - 对
invalid_grant，大概率是 code 被重复使用或超时，应记录日志并提示用户重试；对redirect_uri_mismatch，说明配置错，应报警而非重试 - 别用
token.Type()判断 token 类型，有些 provider（如企业微信）返回"bearer"，有些返回空字符串，应以实际 API 调用结果为准 - 拿到
*oauth2.Token后，立即调token.WithExtra()补充refresh_token（如果 provider 支持），否则刷新时会丢失
RefreshToken 失效后无法静默续期，必须走完整授权流程
绝大多数 OAuth2 提供方（包括 Google、GitHub、微信）默认不返回 refresh_token，或只在首次授权时返回一次。一旦失效（比如用户在平台解绑应用），oauth2.TokenSource.Refresh() 会直接 panic 或返回 invalid_grant，而不是引导用户重新授权。
实操建议：
- 初始化
oauth2.Config时，EndpointParams加上url.Values{"access_type": {"offline"}}（Google）或{"scope": {"snsapi_login"}}（微信），争取首次拿到 refresh_token - 封装
TokenSource时，Token()方法里捕获 refresh 失败，主动返回自定义错误（如ErrRefreshFailed），让上层决定跳转到授权页 - 别依赖
token.Expiry做过期判断——有些 provider（如飞书）返回的 expiry 是 2 小时，但实际 1 小时就失效，应以 API 调用返回的 HTTP 401 为准 - 用户登出时，显式调用 provider 的 revoke 接口（如
https://oauth2.googleapis.com/revoke?token=xxx），别只删本地 token
真正麻烦的不是写几行 oauth2.Config.Exchange()，而是每个 provider 对 RFC 6749 的实现都有微妙偏差：微信要求 grant_type=authorization_code 显式传，GitHub 允许不传；钉钉回调参数叫 auth_code 而非 code；企业微信的 access_token 有效期是 2 小时但必须每 1.5 小时刷新……这些细节得靠抓包+文档交叉验证，光看 Go SDK 文档不够。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
