优先选标准oauth2包用于纯登录场景，因gocloak虽封装管理API但未简化登录流程，且易引发goroutine泄漏、校验不全等生产问题；登录只需三步：跳转→换token→解析并严格校验ID Token的issuer、audience和signature。
直接用 golang.org/x/oauth2 就够了，别一上来就拉 gocloak —— 除非你要在后端查用户列表、批量绑角色，或者写 CLI 管理工具。
为什么不用 gocloak 做登录流程
gocloak 是 Keycloak 管理 API 的完整封装，它能调 /admin/realms/{realm}/users、/roles、RefreshToken，但登录这件事它反而没帮你简化：你仍得自己拼 AuthURL 和 TokenURL，自己处理回调、解析 id_token、校验 signature。白加一层 HTTP 客户端抽象，还默认用 context.Background()，生产环境不显式设 timeout 就等着 goroutine 泄漏。
而纯登录场景只有三步：跳转 → 拿 code → 换 token → 解析 ID Token → 校验 claims。这正是 oauth2.Config.Exchange() 和标准 JWT 库的舒适区。
-
gocloak.Login()返回的是gocloak.JWT结构体，不是标准*jwt.Token，后续验issuer或aud得自己拆字段 - 它把
RedirectURL当成可选参数，但 Keycloak 对这个值极其敏感——少个斜杠、协议不一致、端口没写全，invalid_request直接甩脸上 - 如果你只用它做登录，90% 的代码其实在绕过它自己的 token 存储逻辑，去手动取
RawIDToken
oauth2.Config 必须对齐 Keycloak 后台配置
Keycloak 不是黑盒，它对每个 OAuth2 参数都做严格校验。错一个，就卡在 unauthorized_client 或 invalid_request，而不是告诉你哪错了。
立即学习“go语言免费学习笔记（深入）”；
-
RedirectURL必须和 Keycloak 后台 “Valid Redirect URIs” 完全一致，包括末尾斜杠：http://localhost:8080/callback≠http://localhost:8080/callback/ -
Scopes至少含"openid"；否则 Keycloak 返回的是纯 OAuth2access_token，没有id_token，后续解析直接 panic - Client 的
Access Type设为confidential时，ClientSecret必须传；设为public（如 Vue 前端直连）则ClientSecret必须为空，否则 token 请求被拒 -
AuthURL和TokenURL中的 realm 名必须小写且完全匹配：myrealm≠MyRealm
ID Token 校验不能只靠 jwt.Parse()
jwt.Parse() 成功只代表签名语法合法，不代表 token 可信。Keycloak 发的 OIDC token 必须同时验三项，缺一不可：
-
issuer：必须等于https://keycloak.example.com/auth/realms/<realm></realm>（注意协议+域名+路径全匹配） -
audience（aud）：必须包含你的ClientID，不能是空数组或 wildcard -
signature：keyfunc必须从 Keycloak 的 JWKS 端点动态加载公钥，硬编码 PEM 会失效（Keycloak 轮换密钥时）
漏掉任意一项，攻击者就能用伪造的 token 绕过认证。别信“Parse 成功=登录成功”这种直觉。
callback handler 里最容易丢 context 和 error 处理
典型错误是把 config.Exchange(r.Context(), r.URL.Query().Get("code")) 的返回值直接当 token 用，却不检查 error —— 比如网络超时、code 已用过、state 不匹配，都会返回 nil token + 非 nil error。
- 必须显式判断
err != nil，并返回 401 或重定向到错误页，不能静默忽略 - 传给
Exchange()的 context 应带 timeout（比如ctx, cancel := context.WithTimeout(r.Context(), 5*time.Second)），否则上游 Keycloak 慢一点，整个 handler 就卡住 - 拿到
token后，别直接token.Extra("id_token").(string)—— 先断言类型，再判空，否则 panic
真正难的不是写通流程，而是让每一步失败都有明确反馈、每个 token 都经得起推敲。Keycloak 不会替你兜底，它只认标准。
