fosite搭建OAuth2服务核心是配置存储、密钥和注册handler，缺一即导致404/500；必须初始化Config（含GlobalSecret、AccessTokenLifespan）和Storage（生产禁用内存实现），严格按路径注册/auth与/token handler，client需通过storage.CreateClient写入且redirect_uris、response_types、PKCE、state均须合规。
直接用 fosite 搭 OAuth2 授权服务，核心不是写逻辑，而是配存储、设密钥、注册 handler——漏掉任何一步，/oauth2/auth 就会 404 或 500，且错误日志几乎不报具体原因。
fosite 初始化必须填满 Config 和 Storage 两块
fosite 不像 golang.org/x/oauth2 那样只管客户端，它要自己当授权服务器，所以启动前必须明确两件事：谁来存数据、用什么签名。缺一不可。
-
storage.NewExampleStore()只能用于本地调试，它把 client、code、token 全塞进内存 map，一重启全丢；生产必须换 MySQL/PostgreSQL 实现的Storage接口 -
GlobalSecret字段不能为空，哪怕只是测试也得传至少 32 字节的随机字节（[]byte("my super secret signing password")是示例，别真用） -
AccessTokenLifespan建议显式设为time.Minute * 30，否则默认是 1 小时，和多数平台不一致，后续调试 token 过期行为容易混乱
handler 注册顺序和路径必须严格匹配 fosite 要求
fosite 自带的 AuthorizeEndpointHandler 和 TokenEndpointHandler 对路径敏感，不是“能访问就行”，而是路径名、HTTP 方法、甚至 query 参数解析都由它内部硬编码控制。
- 必须注册
/oauth2/auth处理GET请求，不能写成/auth或/oauth2/authorize；fosite 内部会检查r.URL.Path == "/oauth2/auth"，不等就直接 panic - 必须注册
/oauth2/token处理POST请求，且要求Content-Type: application/x-www-form-urlencoded；前端若用fetch发 JSON，会卡在解析阶段，返回空响应体 + 400 - 别在中间加 Gin/Echo 的路由前缀（比如
router.Group("/api").GET("/oauth2/auth", ...)），fosite 不识别嵌套路径，只会看到/api/oauth2/auth并拒绝
client 注册必须走 fosite.Storage 接口，不能靠环境变量或配置文件
fosite 不读 .env 或 YAML，所有 client 信息（client_id、client_secret、redirect_uris、response_types）必须在启动时通过 storage.CreateClient() 写入底层存储。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 测试时可用
storage.CreateClient(&fosite.DefaultClient{...})手动插入一个 client，但注意redirect_uris是[]string类型，必须带协议和完整路径，例如[]string{"http://127.0.0.1:8080/callback"}，少个http://就会在 auth 流程中静默失败 -
response_types至少得包含"code"，否则用户点登录后，fosite 会返回{"error":"invalid_request","error_description":"The authorization server does not support this response type"}，但不会告诉你哪行代码错了 - client_secret 必须用
bcrypt或sha256哈希后存，fosite 默认调用storage.GetClient()返回的 client 的CheckSecret()方法校验，明文存会导致所有请求被拒
测试时最容易忽略的是 state 和 PKCE 的强制校验
fosite 默认开启 PKCE 和 state 校验，且无法关闭——这不是可选项，是安全底线。很多本地测试跑不通，就是因为没传或传错这两个参数。
- 发起授权请求时，URL 必须带
code_challenge和code_challenge_method=S256（fosite 不支持 plain）；漏掉任一参数，/oauth2/auth直接返回 400，body 里只有 error 字段，没有上下文 -
state参数必须非空字符串，且要在回调时原样带回；fosite 不负责存 state，但它会在AuthorizeEndpointHandler中校验你传进来的state是否符合长度和格式（至少 8 字符），不合规就拒绝 - 测试用
httptest.Server时，别 mockstorage的GetClient方法返回假数据——fosite 会在 handler 中多次调用它查 client、查 code、查 token，mock 不全会导致中间态数据缺失，错误堆栈指向空指针而非真实问题点
fosite 的复杂点不在代码量，而在它把所有安全检查都下沉到 storage 层和 handler 入口；一旦某个 client redirect_uri 多了个斜杠，或者 PKCE challenge 算错一位，它就沉默地 400，连 debug 日志都懒得打。上线前务必用真实 curl 过一遍 /oauth2/auth?response_type=code&client_id=xxx&redirect_uri=xxx&code_challenge=xxx&state=xxx，看它吐出的是 code 还是裸 error。
