用golang.org/x/oauth2走通授权码流程需三步：AuthCodeURL生成带state的授权链接；Exchange用code换token；conf.Client创建带token的HTTP客户端。
怎么用 golang.org/x/oauth2 走通授权码流程
Go 里做 OAuth2 登录，核心就是走通「授权码模式」——不是自己拼 URL、手写 HTTP 请求，而是靠 golang.org/x/oauth2 封装好的三步：生成跳转链接 → 处理回调 → 换 token。它不处理登录页或用户 session，只管协议层交互。
-
AuthCodeURL(state)生成带state和redirect_uri的授权地址，必须传非空state字符串（防 CSRF，后面会验证） -
Exchange(r.Context(), r.URL.Query().Get("code"))拿 code 换 token，注意要传context，超时控制得自己加 - 换回来的
*oauth2.Token可直接传给client := conf.Client(ctx, token)，后续请求用户信息就用这个 client
测试时为什么不能只 mock http.Client
mock http.Client 看似快，但会绕过真实重定向逻辑、忽略 Location 响应头、不校验 state 是否回传、也不触发 cookie 或 TLS 验证行为——结果是测试绿了，线上一授权就卡在 302 跳转失败或 state 不匹配 400。
- 正确做法是起一个
httptest.Server，让被测代码真发 HTTP 请求，只是目标指向本地 - handler 要区分路径：
GET /auth返回 302 +Location: ?code=abc&state=xyz；POST /token校验code、client_id、redirect_uri后返回固定 JSON - 别忘了在 handler 里解析并比对
state参数——很多 bug 是前端没把回调里的state原样传回来，mock client 根本发现不了
测试中怎么安全替换 oauth2.Config 的 RedirectURL
oauth2.Config 的 RedirectURL 是硬编码进结构体的，生产值（比如 https://myapp.com/callback）在测试里会因域名不匹配被拒绝。你不能改全局变量，也不能复用生产 config。
- 测试前新建 config：
&oauth2.Config{RedirectURL: "http://localhost:0/callback", ...}，用httptest.NewUnstartedServer动态占位端口 - 同时必须替换
Endpoint.AuthURL和Endpoint.TokenURL，否则还是打外网 - 如果业务代码把 config 当全局变量初始化，测试前得用接口包装或 sync.Once 控制初始化时机，否则并发测试互相覆盖
为什么 state 参数不是可选项，而必须生成、存储、比对三步闭环
state 是 OAuth2 流程里唯一防伪造回调的安全机制。它不是“加个随机字符串就行”，而是要求：生成时存到 session/cookie，回调时从 query 取出，再和服务端存的比对。漏掉任一环，攻击者就能伪造 callback 请求，盗取他人 token。
立即学习“go语言免费学习笔记（深入）”；
- 常见错误：生成
state后没存，回调时只校验非空；或存在内存 map 里但没设 TTL，导致并发测试污染 - 建议用
crypto/rand生成 32 字节 base64 字符串：state := make([]byte, 32); rand.Read(state); base64.URLEncoding.EncodeToString(state) - 比对必须严格相等（
==），不能用模糊匹配或忽略大小写
真正难的不是调通一次登录，而是让 state 在多实例、多请求、多测试间始终可靠流转；还有那些看似无关的 redirect_uri 校验、code 一次性使用、token 刷新逻辑——它们不出问题时没人注意，一出就是线上用户登不上。
