Go实现OAuth2第三方登录核心是管住oauth2.Config、state、RedirectURL和Exchange上下文；Config初始化必须严格填对ClientID、ClientSecret、RedirectURL、Scopes、Endpoint五个字段，缺一不可且协议/端口/斜杠/大小写须逐字节匹配。
golang.org/x/oauth2 不是语言学习工具，它是个标准 OAuth2 客户端库——别被“语言学习技巧”误导。你要做的不是学语法，而是搞清 OAuth2 流程里每个环节该由谁、在哪儿、用什么参数做哪件事。
oauth2.Config 初始化失败的典型表现
启动就 panic 或 callback 返回 invalid_request，90% 是配置没对齐：
-
RedirectURL必须和你在 GitHub/Google 后台填的完全一致（协议、域名、端口、路径、结尾斜杠）；本地开发用http://127.0.0.1:8080/callback，别写localhost -
Scopes不是通用字符串：GitHub 要[]string{"user:email"}，Google 要[]string{"https://www.googleapis.com/auth/userinfo.email"}，错一个字符就拿不到用户信息 -
ClientSecret绝不能硬编码进代码，必须从os.Getenv("OAUTH_CLIENT_SECRET")或配置文件加载 -
Endpoint别自己拼 URL，直接用google.Endpoint或github.Endpoint，它们已预置 AuthURL/TokenURL
callback handler 里 config.Exchange 报 invalid_grant
这不是 token 过期，是授权码本身无效或上下文不匹配：
- 确保跳转授权页前调用了
config.AuthCodeURL("random-state-string")，且把 state 存进 session 或加密 cookie - 在 callback 中先取 query 参数
state，再和 session 里的比对，不一致立刻返回 400 -
config.Exchange(r.Context(), r.URL.Query().Get("code"))的 context 必须是r.Context()，不是context.Background()，否则超时控制失效 - 如果用了 Gin/Echo，确认没中间件提前读过
r.Body——Exchange内部要 POST 到 token 端点，body 为空就会报这个错
拿到 *oauth2.Token 后怎么安全续期
Access Token 过期后不能手动重发请求，得靠 TokenSource 自动刷新：
- 别只存
token.AccessToken字符串；每个用户应独立持有config.TokenSource(ctx, token)实例 - 后续 HTTP 请求必须用
config.Client(ctx, token)构造 client，它内部会自动调TokenSource.Token() - 并发场景下，多个 goroutine 同时触发刷新可能重复发请求——用
oauth2.ReuseTokenSource包一层，避免竞态 - refresh_token 本身也有有效期，部分平台（如 GitHub）不返回它，此时只能引导用户重新授权
