oauth2不是echo内置中间件，需手动实现/oauth2/login和/oauth2/callback两个显式路由并注册到echo路由表，不可作为全局中间件使用；必须严格按跳转→回调→换token→存session顺序执行，确保state防重放、redirect_uri逐字匹配、exchange传r.context()且处理各类错误。
OAuth2不是Echo内置中间件，得自己写 handler 注册到路由
Echo 框架本身不提供 OAuth2Auth 这类开箱即用的中间件——它只提供基础认证（BasicAuth、KeyAuth）和 JWT 解析能力。OAuth2 授权流程必须由你手动实现两个核心路由：/oauth2/login（跳转授权页）和 /oauth2/callback（接收 code 并换 token），然后把它们注册进 Echo 的路由表，不能塞进 e.Use() 里当全局中间件用。
常见错误是试图写个中间件拦截所有请求去“自动做 OAuth2”，结果 state 校验错乱、callback 被重复执行、或 redirect_uri 拼错后静默失败。OAuth2 是有明确阶段边界的三步操作：跳转 → 回调 → 换 token → 存 session，必须按顺序走显式路由。
-
/oauth2/login必须是 GET，生成并存state到 session，再重定向到第三方授权地址（如https://github.com/login/oauth/authorize?client_id=xxx&redirect_uri=http%3A%2F%2Flocalhost%3A8080%2Foauth2%2Fcallback&state=abc123） -
/oauth2/callback必须是 GET，先校验state（恒定时间比对 + 立即删除），再从r.URL.Query().Get("code")取值，最后调conf.Exchange(r.Context(), code) - 别在
/oauth2/callback里直接返回 HTML 或 JSON 前就写 session —— Exchange 失败时 session 已污染，后续请求会复用无效状态
RedirectURL 必须和 OAuth2 平台后台填的一模一样，含协议、端口、路径末尾斜杠
GitHub、Google、微信开放平台、Keycloak 全部强制逐字匹配 redirect_uri：差一个 /、多一个 %2F、协议写成 http 而不是 https，都会返回 invalid_request 或直接 400 且不告诉你原因。Echo 路由定义的 callback 地址必须和你在平台注册时填的完全一致。
调试时最有效的方法是用 curl -v 手动构造跳转 URL，看响应头 Location 是否跳向预期的授权页；再检查回调请求的 r.RequestURI 是否和平台配置项一字不差。
- 本地开发用
http://localhost:8080/oauth2/callback，生产环境必须用真实域名，比如https://app.example.com/oauth2/callback - 微信要求
redirect_uri在AuthCodeURL()中做 URL 编码（%2Fcallback），GitHub 和 Google 明确禁止编码——不能共用同一套拼接逻辑 - 多环境部署时，用
os.Getenv("OAUTH_REDIRECT_URL")注入，不要在代码里写if env == "prod"分支
state 必须绑定 session ID 且只用一次，别往里面塞业务参数
state 是防 CSRF 的唯一有效手段，golang.org/x/oauth2 包完全不处理它——你漏掉，攻击者就能伪造跳转链接，把用户的 code 劫持到自己服务器。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
生成和校验都得自己来：用 crypto/rand.Read 生成 32 字节随机数，hex.EncodeToString 编码后存入 session，key 必须带 session ID（例如 "oauth_state:" + sessionID），不能全局共享。
- 回调 handler 中先查
session.Get("oauth_state")是否存在且未过期，再用subtle.ConstantTimeCompare恒定时间比对 - 比对成功后立刻
session.Delete("oauth_state")，防止重放 - 别往
state里塞next=/admin或user_id=123——它只用于防重放；业务跳转地址应存在后端 session 或 JWT payload 中
Exchange 换 token 时必须传 r.Context()，且要细判 *oauth2.RetrieveError
conf.Exchange(r.Context(), code) 失败时，90% 是这三件事没做对：传了 context.Background() 而不是 r.Context()；r.Body 已被其他中间件（如日志、JWT 解析）提前读空；没判断 *oauth2.RetrieveError 类型错误。
典型错误现象是返回空响应体 + HTTP 400，日志里只打印 failed to exchange token，但没具体原因。必须显式类型断言并分情况处理：
-
err == nil：正常拿到*oauth2.Token，继续取用户信息 -
err != nil && errors.Is(err, context.DeadlineExceeded)：超时，检查网络或 token 端点是否可达 -
re, ok := err.(*oauth2.RetrieveError)且re.Response.StatusCode == 400：大概率是invalid_grant或bad_verification_code，说明 code 已用过、过期或拼写错误 -
re, ok := err.(*oauth2.RetrieveError)且re.Response.StatusCode == 401：client_id/client_secret 错，或 redirect_uri 不匹配
真正容易被忽略的是：r.Body 在 Echo 中默认可读一次，如果前面挂了 middleware.Logger() 或自定义 JWT 解析中间件，conf.Exchange() 就会因 body 为空而失败。要么把 OAuth2 callback 路由放在所有中间件之前，要么确保前面的中间件不消费 r.Body。
