测试 OAuth2 必须用 httptest.Server 启动动态 mock 服务、为每次测试新建 oauth2.Config 并替换 RedirectURL 和 Endpoint，且严格验证 state 全链路。
用 golang.org/x/oauth2 配置客户端时，RedirectURL 必须动态可换
生产环境写死的 RedirectURL（比如 "https://myapp.com/callback"）在测试中会直接失败——OAuth2 提供商校验域名、协议、端口全匹配，localhost:8080 和线上地址不一致就 400 或重定向被拒。
- 测试必须新建
oauth2.Config实例，把RedirectURL设为"http://localhost:0/callback"（httptest.NewUnstartedServer可帮你占位并获取真实端口） - 别复用全局 Config：它的
Endpoint（含AuthURL/TokenURL）也得一并替换成本地 mock 地址，否则仍打外网 - 如果业务代码里
oauth2.Config是包级变量+init()初始化，测试前得用接口包装或 sync.Once 控制初始化时机，否则并发测试互相污染
起本地 mock OAuth2 服务，比 mock http.Client 更可靠
只替换 http.DefaultClient 或传自定义 client 给 oauth2.Config，看似省事，但掩盖了真实流程里的关键细节：302 跳转、Location 头解析、state 参数提取、code 校验逻辑……这些在 mock client 里全得手动模拟，极易漏掉分支。
- 用
httptest.Server起一个真实 HTTP 服务，handler 区分路径：GET /auth返回带code=abc123的重定向；POST /token返回固定 JSON：{"access_token":"test_tok","token_type":"Bearer"} - handler 里必须校验
client_id、redirect_uri、code、state字段——很多 bug 是被测代码拼错参数名（比如写成redirect_url），mock 却返回 200，结果 token 字段为空，后续 panic - 某些平台（如 GitLab）要求
state原样回传，mock server 能验证你是否真从跳转 URL 里取出了它，而 mock client 很难做到这点
state 参数不是可选，测试必须覆盖生成→存储→比对全流程
state 是 OAuth2 防 CSRF 的唯一机制。不校验它，攻击者可伪造回调，把别人的 code 换成自己的 token，直接登录他人账号。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 生成：用
crypto/rand生成 32 字节随机值，base64 编码后传给AuthCodeURL的state参数 - 存储：必须存到 session 或 signed cookie 中（不能放 URL query 或前端 localStorage），且设置合理过期时间（比如 5 分钟）
- 比对：回调 handler 收到请求后，先从 session 取出原始
state，再和 URL query 中的state严格比较，不一致立即 400
不同平台的 Endpoint 差异大，别硬套默认配置
Google、GitHub 等有现成 google.Endpoint、github.Endpoint，但微信、钉钉、飞书等国内平台大多不兼容标准字段名或响应结构，直接用会卡在 Exchange 解析失败。
立即学习“go语言免费学习笔记（深入）”；
- 微信的
tokenURL返回的是access_token=xxx&expires_in=7200查询字符串，不是 JSON，得自己实现TokenSource或用oauth2.ReuseTokenSource+ 自定义Token解析 - GitLab 要求
state必须回传，且redirect_uri必须和注册时完全一致（尾部斜杠都不能差） - 所有非标准平台，都该把
oauth2.Config.Endpoint设为自定义结构体，显式指定AuthURL和TokenURL，别依赖库默认值
真正麻烦的从来不是“怎么发起 OAuth2 请求”，而是“怎么让每一步响应都像真的一样，同时还能精准控制它”。mock server + 动态 config + state 全链路验证，这三块没串起来，测试就只是假装跑通。
