iris 中 oauth2 非开箱即用，需基于 golang.org/x/oauth2 手动实现授权码流程，拆解为 /auth/login、/auth/callback 等明确端点，复用 oauth2.config 并绑定 state 至 session 或短期 jwt；禁用过时的 iris-contrib/middleware/oauth2；oauth2 仅负责认证，须自行生成并校验 jwt 实现会话管理。
OAuth2中间件在Iris中不是开箱即用的内置组件
Iris官方并未提供 UseOAuth2 这样的原生方法——这是常见误解，源于早期社区博客或过时文档（如2016年oschina那篇）的误传。Iris v12+ 的生态中，OAuth2支持依赖第三方库或手动集成，框架本身只提供中间件挂载能力（Use、UseGlobal）和HTTP客户端工具。
推荐用 golang.org/x/oauth2 手动实现授权码流程
最可控、兼容性最好的方式是直接使用 Go 官方 golang.org/x/oauth2 包，配合 Iris 的路由与上下文管理。关键点在于：不要试图“注入”一个黑盒中间件，而是把 OAuth2 流程拆解为几个明确的 HTTP 端点。
-
/auth/login：重定向到第三方授权页（如 GitHub），携带state防 CSRF -
/auth/callback：接收code和state，调用oauth2.Config.Exchange换取 token，再用 token 请求用户信息 -
/auth/user（可选）：返回当前登录用户，供前端校验会话
注意：oauth2.Config 必须在启动时初始化并复用，不能每次请求都新建；state 值需绑定 session 或短期 JWT，不能硬编码或明文透传。
别直接用 iris-contrib/middleware/oauth2
社区有个 iris-contrib/middleware/oauth2 仓库，但它长期未维护（最后更新在 2020 年），且严重依赖已废弃的 golang.org/x/oauth2 旧版接口，与当前主流 provider（GitHub、Google、Auth0）的 scope/endpoint 行为不一致。实测会出现 invalid_request: The provided value for the input parameter 'redirect_uri' is not valid 或 token 解析失败。
如果你看到示例里调用了 app.UseOAuth2(...)，基本可以判定代码基于 Iris v11 以下版本或自定义封装，不可直接复用。
JWT 会话管理要和 OAuth2 解耦
OAuth2 只负责「认证」（Authentication），而你的服务仍需自己完成「授权」（Authorization）和会话维持。常见错误是把 id_token 当作后端 session 使用——它不可刷新、无吊销机制、且部分 provider（如 GitHub）根本不发 id_token。
正确做法：
- 在
/auth/callback成功后，生成一个短期（如 24h）的jwt.Token，包含用户唯一标识（如sub字段）、角色、签发时间 - 将该 token 通过
ctx.SetCookie或响应 body 返回给前端 - 后续受保护路由用自定义中间件校验 JWT，而非反复调用 OAuth2 provider 接口
这个环节最容易被忽略：OAuth2 登录成功 ≠ 你自己的系统已建立可信会话，中间这层 token 转换和存储必须由你显式控制。
