Iris框架本身不内置OAuth2支持，但能无缝集成golang.org/x/oauth2，关键在于四点对齐：oauth2.Config初始化完整、RedirectURL字节级一致、state安全生成与恒定时间比对、Exchange调用时上下文带超时。
iris 框架本身不内置 OAuth2 支持，但能无缝集成 golang.org/x/oauth2 ——真正卡住流程的从来不是框架选型，而是四件事没对齐：`oauth2.Config` 初始化、`RedirectURL` 字节级一致、`state` 安全生成与恒定时间比对、`Exchange` 调用时上下文带超时。下面直奔实操。
oauth2.Config 初始化必须填对 Endpoint 和 Scopes
别直接 copy GitHub 示例里的 google.Endpoint 就完事。Iris 是 HTTP 路由层，它不管 OAuth 协议细节，所以你得自己配全：ClientID、ClientSecret、RedirectURL、Scopes、Endpoint.AuthURL 和 Endpoint.TokenURL ——缺一不可，大小写、协议、端口、路径斜杠都算在内。
常见错误现象：
- GitHub 登录跳转后返回
400 invalid_request，但响应体空 —— 很可能RedirectURL填了http://127.0.0.1:8080/callback，而平台注册的是http://localhost:8080/callback - Google 登录成功换到 token，但调
https://www.googleapis.com/oauth2/v2/userinfo返回空邮箱 ——Scopes少写了"https://www.googleapis.com/auth/userinfo.email" - 微信登录 AuthCodeURL 生成失败或回调 400 —— 微信要求
redirect_uri在 URL 中做路径部分编码（如%2Fauth%2Fcallback），而 GitHub/Google 明确禁止编码
state 必须自己生成、绑定 session、恒定时间比对
golang.org/x/oauth2 完全不碰 state：不生成、不存、不校验。漏掉它，攻击者可伪造 https://github.com/login/oauth/authorize?state=xxx&redirect_uri=evil.com/callback，用户一点，code 就发到他服务器上。
实操建议：
- 生成：用
crypto/rand.Read拿 32 字节，再hex.EncodeToString；别用math/rand - 存储：Iris 的
ctx.Session().Set("oauth_state", state)，key 绑定当前 session ID；不能放 query 或 localStorage - 比对：回调 handler 里先
r.URL.Query().Get("state")，再ctx.Session().GetString("oauth_state")，用subtle.ConstantTimeCompare恒定时间比对，成功后立刻ctx.Session().Delete("oauth_state") - 别往
state塞next=/admin—— 那是 session 或 JWT 的事，state只防 CSRF
Exchange 必须传 r.Context() 并细判 *oauth2.RetrieveError
conf.Exchange(r.Context(), code) 报 invalid_request 或 bad_verification_code？90% 是这三件事没做对：
- 传了
context.Background()—— 必须用ctx, cancel := context.WithTimeout(r.Context(), 10*time.Second)，否则网络抖动时 goroutine 卡死 - Iris 中间件（比如日志、JWT 解析）已读空
r.Body——Exchange内部 POST 到 token 端会失败，需确保中间件不提前 consume body - 没拆解错误类型 —— 返回的
err可能是*url.Error（网络超时）、*oauth2.RetrieveError（IDP 返回 JSON 错误），或nil但token为空；必须用errors.As(err, &re)捕获*oauth2.RetrieveError查re.StatusCode和re.Description
用户信息获取必须按平台单独封装
别幻想一个通用 GetUserInfo(token *oauth2.Token) 函数能通吃所有平台。GitHub、Google、微信的用户信息端点、字段名、认证头格式、是否需要额外 scope 全都不一样：
- GitHub：
GET https://api.github.com/user，headerAuthorization: token xxx，需"user:email"scope 才有 email 字段 - Google：
GET https://www.googleapis.com/oauth2/v2/userinfo，headerAuthorization: Bearer xxx，email 来自email字段，profile 来自name/picture - 微信：
GET https://api.weixin.qq.com/sns/userinfo?access_token=xxx&openid=yyy，返回 JSON 里unionid才是跨公众号唯一 ID，openid仅限当前公众号
最易被忽略的一点：微信的 access_token 有效期只有 2 小时，且不能刷新；而 GitHub 的 token 是长期有效的 personal access token（OAuth App 场景下）——这个差异直接影响你是否要存 refresh_token、怎么设计本地 session 过期逻辑。
