Fiber 本身不内置 OAuth2 客户端逻辑，必须手动实现授权码流程的三段式调用（重定向 → 换 token → 拉用户信息），不能像 Spring Boot 那样靠 spring-boot-starter-oauth2-client 自动完成。
直接说结论：Fiber 本身不内置 OAuth2 客户端逻辑，必须手动实现授权码流程的三段式调用（重定向 → 换 token → 拉用户信息），不能像 Spring Boot 那样靠 spring-boot-starter-oauth2-client 自动完成。
为什么 Fiber 没有现成的 OAuth2 登录支持
Fiber 是一个极简、高性能的 Go HTTP 框架，它的设计哲学是“不封装，只提供原语”。它没有抽象出 OAuth2Client、AuthorizedUser 或自动回调路由这类高层概念。所有 OAuth2 流程都得你用 fiber.Ctx 手动处理请求/响应、HTTP 客户端调用、状态维持（如 PKCE 或 session 绑定）。
- Spring Boot 的
spring-security-oauth2-client会自动注册/login/oauth2/code/{registrationId}路由、校验 state、管理 client_secret、解析 token 响应、拉取 user info 并映射字段——Fiber 全部不干 - Fiber 的
fiber.Cookie和fiber.Session（需额外中间件）仅提供存储能力，state 参数防 CSRF、code 与 session 绑定、token 刷新逻辑都得你自己写 - 第三方平台（如 GitHub、飞书）返回的
user-info-uri响应结构千差万别，Fiber 不做 schema 映射，user-name-attribute这种配置项不存在
手动实现授权码流程的三个关键路由
以对接 GitHub 为例，你需要显式定义并实现以下三个端点：
-
GET /auth/github/login：生成随机state，存入 session，拼接 GitHub 授权 URL（含client_id、redirect_uri、scope、state），执行c.Redirect -
GET /auth/github/callback：校验 query 中的state是否与 session 中一致；若通过，用code+client_id+client_secret向https://github.com/login/oauth/access_tokenPOST 换 token；注意设置Content-Type: application/json，否则 GitHub 返回 400 -
GET /auth/github/me（或合并进 callback）：拿到access_token后，带Authorization: Bearer xxx请求https://api.github.com/user；解析 JSON 响应，提取login字段作为用户名，id作为唯一标识
示例片段（token 换取部分）：
resp, err := http.DefaultClient.PostForm("https://github.com/login/oauth/access_token", url.Values{
"client_id": {clientID},
"client_secret": {clientSecret},
"code": {code},
"redirect_uri": {"http://localhost:3000/auth/github/callback"},
})
if err != nil {
return c.Status(500).SendString("token exchange failed")
}
defer resp.Body.Close()
body, _ := io.ReadAll(resp.Body)
// GitHub 返回形如 access_token=xxx&scope=user%3Aemail&token_type=bearer
// 必须手动 parse，不能依赖结构体 unmarshal
容易踩的坑：飞书、微信等平台的特殊要求
不同平台对 OAuth2 实现细节差异极大，硬编码会翻车：
-
飞书：
token-uri必须用 v2 版本（https://open.feishu.cn/open-apis/authen/v2/oauth/token），v1 已废弃；user-info-uri返回的用户 ID 字段名是open_id或union_id，不是id；scope必须为profile openid，少一个就拿不到用户信息 -
微信：不支持标准 OAuth2 的
user-info-uri，必须用https://api.weixin.qq.com/sns/userinfo，且需额外传access_token和openid两个参数；返回 JSON 中昵称字段是nickname，且是 UTF-8 编码字节流，需正确解码 -
GitHub：
user-info-uri默认不返回邮箱，必须在scope加user:email，再额外发一次GET https://api.github.com/user/emails并校验primary: true
session 和 state 管理必须自己兜底
Fiber 没有开箱即用的 OAuth2 安全上下文，state 参数防 CSRF、防止 code 重放、绑定用户会话，全靠你手动做：
- 用
fiber.NewSessionStore（如基于 Redis）初始化 session 中间件，确保/callback能读到登录前存的state - 生成
state时建议用crypto/rand.Read生成 16 字节随机数，再 hex 编码，避免 predictable - 不要把
client_secret写死在代码里，必须从环境变量（os.Getenv("GITHUB_CLIENT_SECRET")）或 Secret Manager 加载 - 换 token 成功后，
access_token建议存入 session，而不是前端 cookie，避免 XSS 泄露
最常被忽略的是：所有平台都要求 redirect_uri 在开放平台配置的值必须与代码中发起请求时传的一字不差（协议、域名、端口、路径全部匹配），哪怕多一个 / 都会拒绝授权——这个错误不会报具体原因，只返回空白页或 401。
