OAuth2认证需严格满足五个硬性参数+state全链路闭环+真实HTTP跳转测试：ClientID、ClientSecret、RedirectURL、Scopes、Endpoint缺一不可；state必须生成→存储→比对三步到位；测试须用httptest.Server模拟完整302跳转流程。
golang.org/x/oauth2 是 Go 做 OAuth2 认证的事实标准，但直接照抄示例代码大概率在第一步就卡住——不是逻辑错，而是配置或流程细节没对齐。核心结论：OAuth2 不是“调个库就行”，而是五个硬性参数 + state 全链路闭环 + 测试必须走真实 HTTP 跳转。
oauth2.Config 初始化必须填满这 5 个字段
ClientID、ClientSecret、RedirectURL、Scopes、Endpoint 缺一不可，且任意一个不匹配都会静默失败或返回 400。
常见错误现象：
- RedirectURL 写成 http://localhost:8080/callback，但 GitHub 后台注册的是 https://www.php.cn/link/17619ffd8ea725e27cd249494576175a → 直接拒绝授权，连跳转页都不出现
- Scopes 写错字段名，比如 GitHub 用 ["user"] 而非 ["user:email"] → 授权成功，但后续 client.Get("https://api.github.com/user") 返回空邮箱
- Endpoint 没指定，误以为默认有值 → 实际为零值，AuthCodeURL 生成的 URL 缺少 host，最终 404
正确做法：
- 本地开发用
<a href="https://www.php.cn/link/17619ffd8ea725e27cd249494576175a">https://www.php.cn/link/17619ffd8ea725e27cd249494576175a</a>（GitHub 明确不认 localhost 带端口） - 生产环境
RedirectURL必须和平台后台填的一模一样，包括协议、域名、端口、路径结尾斜杠 - 非标准平台（如微信、飞书）别硬套
google.Endpoint，得自己构造oauth2.Endpoint，注意响应字段名（比如微信返回access_token，但有些平台叫accessToken）
state 参数不是可选，必须生成→存储→比对三步全做
state 是防 CSRF 的唯一机制，漏掉任一环等于开放账号盗用入口。
很多代码只做了第一步：conf.AuthCodeURL("abc123")，但没存、也没比对。结果是测试通过，线上被伪造回调打穿。
关键点：
- 生成：用
crypto/rand.Read生成 32 字节随机数，再base64.URLEncoding.EncodeToString编码，避免特殊字符截断 - 存储：必须进 session 或 signed cookie，不能放 query string、localStorage 或内存 map（后者并发测试会污染）
- 比对：callback handler 中先从 session 取原始值，再和
r.URL.Query().Get("state")严格相等比较，不一致立即http.Error(w, "state mismatch", http.StatusBadRequest)
注意：GitLab 等平台要求 state 原样回传，mock client 很难验证这点，只有真实 HTTP 服务能暴露你是否真从跳转 URL 里取出了它。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
测试必须用 httptest.Server，不能只 mock http.Client
只替换http.DefaultClient 或传自定义 http.Client 给 oauth2.Config，看似省事，实则掩盖关键流程：
- 真实 302 跳转逻辑被绕过
- Location 响应头没被解析
- state 是否原样回传无法验证
- cookie、TLS 行为全丢失
正确测试姿势：
- 启动
httptest.NewUnstartedServer，动态获取端口，设RedirectURL为"<a href="https://www.php.cn/link/59d49e1ef1cc5496dfde1a1cc0c74004">https://www.php.cn/link/59d49e1ef1cc5496dfde1a1cc0c74004</a>" - handler 分路径：
-
GET /auth返回302，Location带code=abc&state=xyz -
POST /token校验client_id、redirect_uri、code、state后返回固定 JSON：{"access_token":"test_tok","token_type":"Bearer"}
-
- 每次测试新建
oauth2.Config，同时替换RedirectURL和Endpoint（否则仍打外网） - 如果业务代码把
oauth2.Config当包级变量初始化，测试前必须用sync.Once或接口控制初始化时机，否则并发测试互相覆盖
拿到 token 后别存字符串，要用 TokenSource 自动续期
拿到*oauth2.Token 后，别提取 token.AccessToken 存数据库或 session——它会过期，且没有刷新逻辑。
正确方式是：
- 用 config.TokenSource(ctx, token) 创建 oauth2.TokenSource
- 后续请求用户信息时，用 client := config.Client(ctx, token)，它内部自动调 TokenSource.Token() 刷新
- 多用户场景下，每个用户需独立 TokenSource 实例；别共用一个，否则并发刷新可能冲突
- 若需长期保存，序列化整个 *oauth2.Token（含 RefreshToken、Expiry），反序列化后重建 TokenSource最易忽略的点：state 的存储介质和生命周期管理。session 过期时间必须短于 OAuth2 provider 的 code 有效期（通常 10 分钟），且不能依赖进程内 map —— 容器重启、多实例部署时会直接失效。
