OAuth2.0在Golang微服务中需严格卡死四条线：RedirectURL字节级匹配、state绑定session并恒定时间比对、Exchange必传带超时的r.Context()、oauth2.Config初始化缺一字段即失败。
OAuth2.0 在 Golang 微服务中不是“配出来”的，而是“卡死四条线”：RedirectURL 字节级匹配、state 绑定 session 且恒定时间比对、Exchange 必传带超时的 r.Context()、oauth2.Config 初始化缺一字段即失败。
RedirectURL 必须和平台后台注册值逐字节一致
GitHub/Google/微信全部强制校验协议、域名、端口、路径、末尾斜杠——http://localhost:8080/callback ≠ http://localhost:8080/callback/ ≠ https://api.example.com/auth/callback。填错直接返回 invalid_request 或静默 400，错误体里通常不提示哪错了。
- 本地开发统一用
http://localhost:8080/callback，别混用127.0.0.1 - 生产环境必须是
https://api.example.com/auth/callback，且 TLS 证书有效（否则微信/Keycloak 拒绝） - 微信开放平台要求
redirect_uri在AuthCodeURL中做 URL 编码（如%2Fauth%2Fcallback），GitHub/Google 不接受编码——不能复用同一套拼接逻辑 - 多环境部署时，用
os.Getenv("OAUTH_REDIRECT_URL")注入，别在代码里写if env == "prod"
state 必须自己生成、绑定 session、一次性比对
golang.org/x/oauth2 包完全不处理 state，漏掉就等于把授权入口敞开——攻击者伪造链接，用户一点，code 就发到他服务器上。
- 生成：用
crypto/rand.Read取 32 字节，再hex.EncodeToString；禁用math/rand - 存储：写进 session（key 为
"oauth_state:" + sessionID），或加密 cookie（设HttpOnly+Secure+SameSite=Strict） - 比对：回调 handler 中先查 session 是否存在且未过期，再用
subtle.ConstantTimeCompare恒定时间比对，比完立刻session.Delete("oauth_state") - 别往
state里塞next=/admin或user_id=123——它只防重放；业务跳转走后端 session 或 JWT payload
Exchange 调用必须传 r.Context() 并细判 error 类型
conf.Exchange(r.Context(), code) 失败常见报错：invalid_grant、bad_verification_code、空 token。90% 是这三件事没做对：
立即学习“go语言免费学习笔记（深入）”；
- 传的是
r.Context()，不是context.Background()；否则超时、取消控制全失效 - 没提前读
r.Body：Gin/Echo 中间件（如日志、JWT 解析）可能已把 body 读空，导致 POST 到 token 接口时报io.EOF - 错误要细判：检查是否为
*oauth2.RetrieveError，再读err.Response.Body看原始响应体——很多平台（如微信）会在 body 里写明具体错误原因
oauth2.Config 初始化必须填满且大小写敏感的五个字段
缺一不可，且协议/端口/斜杠/大小写须逐字节匹配：
-
ClientID和ClientSecret：从 GitHub/Google/微信后台复制，别手动改大小写或加空格 -
RedirectURL：必须和平台后台注册值**完全一致**（见上一条） -
Scopes：GitHub 用[]string{"user:email", "read:user"}，Google 用[]string{"https://www.googleapis.com/auth/userinfo.email"}；scopes 错了，Exchange不报错但后续GET /user返回空数据 -
Endpoint.AuthURL和Endpoint.TokenURL：GitHub 是https://github.com/login/oauth/authorize+https://github.com/login/oauth/access_token；微信需注意其TokenURL返回的access_token不带scope字段，得自己补
微服务场景下最容易被忽略的点：每个服务实例都得独立维护自己的 oauth2.Config 实例（不能全局单例复用），尤其当多个租户共用一套 OAuth 配置但 RedirectURL 不同时——必须按租户动态构造 Config，否则 RedirectURL 校验必挂。
