微信授权回调必须使用https且域名备案并加入公众号白名单，本地调试需内网穿透；code参数从url查询中安全获取，须校验state防csrf；调用access_token接口需检查状态码并解析响应；openid应存httponly+secure cookie，access_token不可存前端。
微信授权回调地址必须是HTTPS且在公众号后台白名单中
微信强制要求回调域名必须备案且启用HTTPS，http://localhost:8080/callback 这类地址本地调试时会直接失败，报错 redirect_uri 参数错误。实际开发中得用内网穿透（如 ngrok 或 localtunnel）把本地服务映射成带 HTTPS 的公网地址，并把该域名（不含路径）填入公众号后台的「公众号设置 → 公众号开发信息 → 授权回调域名」。
注意：这个域名不能带 http:// 或 https://，也不能带路径，只填 dev.example.com 这种形式；填错会导致 errcode=10003。
用 gin.Context.Request.URL.Query().Get("code") 安全取 code 参数
微信重定向到你的回调地址时，会在 URL 查询参数中附带 code（一次有效，5分钟过期），例如 https://dev.example.com/callback?code=xxx&state=yyy。别用 c.Param("code") 或解析 path，那是 RESTful 路由用的。
-
code是必传参数，为空时应立即返回 400 或跳转错误页，不要继续请求微信接口 - 务必校验
state参数防 CSRF（建议生成随机字符串存入 session，回调时比对） - 微信不保证参数顺序，不要依赖
Request.FormValue—— 它只读 POST body，而code在 GET query 中
调用微信 oauth2/access_token 接口要拼完整 URL 并检查响应状态
拿到 code 后，需用 GET 请求微信 OAuth2 接口：https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=APPSECRET&code=CODE&grant_type=authorization_code。Gin 本身不处理外部 HTTP 请求，得用标准 net/http 或 github.com/go-resty/resty/v2。
常见坑：
- 响应不是 JSON 但 Content-Type 是
text/plain，直接json.Unmarshal会静默失败；务必先检查resp.StatusCode == 200 - 微信出错时返回的是
text/plain格式的 JSON 错误体（如{"errcode":40029,"errmsg":"invalid code"}），需统一解析 -
access_token和openid都在响应体里，但refresh_token仅首次授权返回，后续换 token 才用得上
用 gin.SetCookie() 存 openid 要设 HttpOnly + Secure
拿到 openid 后，通常需要标识用户身份。不建议直接塞进前端 localStorage 或 URL，更安全的做法是服务端签发 session 或写 Cookie：
- 若用 Gin 默认 Cookie，调用
c.SetCookie("openid", openid, 3600, "/", "dev.example.com", true, true) - 第6个参数
true表示Secure（仅 HTTPS 传输），第7个是HttpOnly（JS 无法读取），漏掉任一都会降低安全性 - 域名参数必须和回调域名一致，否则浏览器拒绝写入；本地调试时可填
"localhost"，但上线必须匹配备案域名 - 别把
access_token存 Cookie——它有调用频次限制且泄露即失权，openid才是唯一、安全的用户标识
微信授权链路里没有“用户手机号”或“昵称”的直连获取方式，后续如需这些信息，得用 sns/userinfo 接口（需 scope 为 snsapi_userinfo，且用户已同意），而那个接口返回的头像、昵称都是敏感字段，微信会做脱敏，得自己缓存或关联数据库。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
