Beego不内置第三方登录支持，需手动集成OAuth2流程：构造授权URL（含state防CSRF）、处理回调校验、换取access_token、拉取用户信息并绑定本地session，注意微信扫码登录需调整HTTP超时及unionid/openid差异。
Beego 本身不内置第三方登录（如微信、GitHub、Google）支持，必须手动集成 OAuth2 流程或借助社区库。核心难点不在“能不能做”，而在于如何把授权回调、token 换取、用户信息拉取、本地 session 绑定这四步串成安全、可维护的链路。
OAuth2 回调地址配置与 Beego 路由映射
第三方平台要求你填写一个固定的 redirect_uri，这个地址必须能被 Beego 正确路由到处理函数。不能用动态路径（如 /auth/github/callback?id=123），否则签名校验会失败。
- 在 GitHub OAuth App 设置中填
http://yourdomain.com/auth/github/callback - 在 Beego 的
routers/router.go中注册对应路由：beego.Router("/auth/github/callback", &controllers.AuthController{}, "get:GithubCallback") - 确保该路由未被中间件拦截（比如未登录跳转逻辑），否则会形成重定向死循环
手动实现 GitHub OAuth2 流程（不依赖第三方包）
社区有 goth 等封装库，但它们抽象层深、错误提示弱、调试困难。生产环境建议手写关键三步：构造授权 URL → 处理回调 → 拉取用户信息。
- 构造授权 URL 时，
state参数必须生成并存入当前 session：c.SetSession("oauth_state", state)，回调时比对防止 CSRF - 回调中先校验
state：if c.GetString("state") != c.GetSession("oauth_state").(string)，不一致直接拒绝 - 用
http.Post向https://github.com/login/oauth/access_token提交 code 和 client_secret，注意设置Content-Type: application/json，否则 GitHub 返回空响应 - 拿到
access_token后，再发 GET 请求到https://api.github.com/user，Header 带Authorization: token xxx
用户信息落地与 session 绑定策略
第三方返回的用户 ID（如 GitHub 的 id 字段）是全局唯一且不可变的，应作为主键存入本地 users 表；不能只存 login（用户名），因为用户可改名。
- 查库逻辑优先按
provider + provider_user_id组合查询，例如：orm.NewOrm().QueryTable("user").Filter("provider", "github").Filter("provider_user_id", "123456").One(&u) - 首次登录需创建记录，字段包括：
provider（字符串）、provider_user_id（字符串或 int64）、nickname（来自 API）、avatar_url - 绑定成功后，调用
c.SetSession("user_id", u.Id)，后续所有页面头部显示都基于这个user_id查库渲染，而不是直接信任第三方传来的 nickname
微信扫码登录的特殊处理点
微信 Web 开发平台的扫码登录和公众号静默授权不是同一套流程。扫码登录本质是「PC 端发起，手机端确认」，后端要轮询接口 https://api.weixin.qq.com/sns/qrcode/scan（需 access_token），而 Beego 默认请求超时是 30 秒，不够轮询。
- 必须显式设置 HTTP 客户端超时：
client := &http.Client{Timeout: 60 * time.Second} - 微信返回的
unionid仅在用户关注了公众号或在开放平台绑定过才稳定存在；纯扫码登录场景下只能拿到openid，且不同公众号/小程序间不通用 - 前端扫码后跳转的 URL 必须带
redirect_uri且经过urlencode，否则 Beego 解析c.Ctx.Input.Param(":splat")会截断
最易被忽略的是：第三方登录成功后，SetSession 之前必须确保 session 已初始化（即 sessionon = true 且 sessionprovider 配置正确），否则看似写入成功，实际数据根本没落盘——页面刷新后用户名就消失了。
