优先选go-oidc用于纯Web登录跳转+后端校验token，因其专注OIDC协议验证、内置iss/aud/exp三重校验；选gocloak仅当需调用Keycloak管理API如查用户、绑角色；混用会导致冗余逻辑和安全风险。
用 go-oidc 还是 gocloak？先分清你要干啥
纯 Web 登录跳转 + 后端校验 token，选 github.com/coreos/go-oidc/v3/oidc；要查用户列表、绑角色、调 /admin/realms/{realm}/users 这类管理接口，才上 gocloak。混用是最大坑——拿 gocloak.Login() 做登录，结果还得自己 parse ID Token、验 iss/aud/exp，白引入 resty 和 context 管理逻辑。
go-oidc 初始化必须传完整 Issuer URL
Keycloak 的 OIDC Discovery 地址不是根域名，也不是 /auth/realms/myrealm 就完事，必须带 /.well-known/openid-configuration 路径。错一截，oidc.NewProvider() 就 panic 或静默失败。
-
https://keycloak.example.com/auth/realms/myrealm❌（少路径） -
https://keycloak.example.com/auth/realms/myrealm/.well-known/openid-configuration❌（多了一段，Provider 内部会自动拼） -
https://keycloak.example.com/auth/realms/myrealm✅（这才是 issuer，go-oidc 会自动补后缀）
常见错误：回调能进，但 verifier.Verify() 报 invalid issuer，八成是传了带 /auth/realms/... 以外的地址，比如漏掉 /auth 或大小写不匹配（MyRealm ≠ myrealm）。
oauth2.Config 的 RedirectURL 必须和 Keycloak 后台一模一样
Keycloak 对 RedirectURL 校验极严，协议、主机、端口、路径、末尾斜杠，差一点就 invalid_request。别信“差不多就行”，本地开发也得对齐。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- Keycloak Client → Settings → Valid Redirect URIs 填的是
http://localhost:8080/callback/ - 代码里
oauth2.Config.RedirectURL就必须是"http://localhost:8080/callback/"，不能是"http://localhost:8080/callback" - 生产环境填
https://app.example.com/auth/callback/，代码里也得带末尾斜杠 - Scopes 至少含
"openid"，否则 Keycloak 返回的是 OAuth2 access_token，没id_token，后续解析直接 panic
ID Token 校验不能只靠 jwt.Parse()
jwt.Parse() 成功只说明签名语法合法，不代表 token 可信。OIDC 场景下必须三验：
-
iss字段必须等于你传给oidc.NewProvider()的 issuer URL -
aud字段必须严格等于你的 client_id（不是 client_name，也不是随便写的字符串） -
exp校验默认容忍 60 秒时钟偏移，但若服务器时间偏差超限，token 会被拒——别怪 Keycloak，先ntpdate或chronyd同步时间
go-oidc 的 verifier.Verify() 已内置这三项，别绕开它手写 jwt.Parse() + 自定义 keyfunc，已有 CVE 因漏验 nonce 或忽略时钟偏移导致重放攻击。
