核心是三步：生成带state跳转链接、用code换token、用token构造认证客户端；需严格配置ClientID、ClientSecret、RedirectURL、Scopes、Endpoint五字段，state必须生成→存储→比对闭环，测试须用httptest.Server走真实HTTP跳转。
直接用 golang.org/x/oauth2 走通授权码流程，核心就三步：生成带 state 的跳转链接、在回调里用 code 换 token、再用 token 构造带认证的 HTTP 客户端。但 90% 的失败不是代码写错，而是配置或流程闭环没做全。
oauth2.Config 初始化必须填满这 5 个字段
缺一不可，且任意一个不匹配都会静默失败或返回 400：
-
ClientID和ClientSecret：从 OAuth 提供商后台复制，别手敲、别漏字符 -
RedirectURL：必须和平台后台填的**完全一致**，包括协议、域名、端口、路径结尾斜杠。GitHub 不认http://localhost:8080/callback，得用http://127.0.0.1:8080/callback或注册 dev 域名 -
Scopes：按平台要求写，不能凭感觉。GitHub 要[]string{"user:email", "read:user"}，Google 要[]string{"https://www.googleapis.com/auth/userinfo.email"}；写错会授权成功但后续 API 返回空数据 -
Endpoint：必须显式指定AuthURL和TokenURL，不能依赖零值。非标准平台（如微信）得自己构造oauth2.Endpoint，注意响应字段名（比如微信返回access_token，不是access_token）
state 参数必须生成→存储→比对三步闭环
state 是防 CSRF 的唯一机制，漏掉任一环等于开放账号盗用入口：
- 生成：用
crypto/rand.Read生成 32 字节随机数，再用base64.URLEncoding.EncodeToString编码，避免 URL 截断 - 存储：必须进加密 session 或 signed cookie，不能放内存 map（并发测试污染）、localStorage（不安全）、query string（可篡改）
- 比对：回调 handler 中先从 session 取原始值，再和
r.URL.Query().Get("state")严格相等比较；不一致立即http.Error(w, "state mismatch", http.StatusBadRequest) - 常见错误：只调了
config.AuthCodeURL("abc123")，但没存也没比对；或者存在内存 map 里没设 TTL，导致测试间状态污染
Exchange 报 invalid_request 的真实原因
这个错误几乎全是 redirect URL 不匹配或 state 校验失败导致的，不是请求体格式问题：
立即学习“go语言免费学习笔记（深入）”；
-
oauth2.Config.Exchange必须传r.Context()，不能用context.Background()，否则超时控制失效 - 如果用 Gin/Echo 等框架，注意中间件可能提前读取了
r.Body，导致Exchange内部 POST 请求体为空——加个r.Body = ioutil.NopCloser(r.Body)重置流 - 别把
client_secret硬编码进代码；用环境变量加载，上线后密钥泄露风险极高 - 拿到
*oauth2.Token后别只存AccessToken字符串；要用config.TokenSource(ctx, token)初始化TokenSource，才能自动刷新过期 token
测试必须走真实 HTTP 跳转，不能 mock http.Client
mock http.Client 看似快，但绕过真实重定向逻辑、忽略 Location 响应头、不校验 state 是否回传、也不触发 cookie 或 TLS 验证——结果是测试绿了，线上一授权就卡在 302 跳转失败或 state 不匹配 400：
- 正确做法是起一个
httptest.Server，让被测代码真发 HTTP 请求，目标指向本地 handler - handler 分两路：GET
/auth返回 302 +Location: ?code=abc&state=xyz；POST/token校验code、client_id、redirect_uri后返回固定 JSON - 测试前必须替换
oauth2.Config.RedirectURL、Endpoint.AuthURL、Endpoint.TokenURL，否则还是打外网；业务代码若把 config 当全局变量初始化，得用接口包装或sync.Once控制初始化时机
最常被忽略的是：每个用户必须有独立的 TokenSource 实例，基于其 token 初始化；用全局变量存 *oauth2.Token 会导致并发刷新冲突和 token 混用。
