Beego需手动集成Keycloak：三步实现登录跳转（AuthCodeURL、回调校验、token交换），严格匹配redirect_uri、realm大小写及issuer；ID Token必须通过JWKS验证，用户属性依赖Client Mapper配置；登出需同步调用Keycloak logout端点并清除Beego session。
Beego 框架本身不内置 OIDC 或 Keycloak 适配器，集成 Keycloak 必须手动处理 OAuth2 流程和 token 校验；不是 Beego 不支持，而是它没封装这一层 —— 你得自己用 golang.org/x/oauth2 拉通授权码流程，并用 github.com/coreos/go-oidc（或 github.com/golang-jwt/jwt/v5）校验 ID Token。
Beego 中实现 Keycloak 登录跳转的三步关键动作
Beego 的 controller 负责发起 AuthCodeURL、接收回调、Exchange 换 token，全程不依赖 Beego 自身 auth 模块 —— 它只管路由和响应，OAuth2 是你手写的逻辑。
-
oauth2.Config.RedirectURL必须和 Keycloak 后台 Clients → Settings → Valid Redirect URIs 完全一致，包括协议、端口、路径、末尾斜杠；/login/callback和/login/callback/是两个不同地址 - AuthURL 和 TokenURL 中的 realm 名必须小写且拼写完全匹配，
MyRealm和myrealm会被 Keycloak 当作不同 realm 拒绝 - 调用
config.AuthCodeURL(state)前，state 必须存入 Beego session（如this.SetSession("oauth_state", state)），回调时先比对再继续，否则会触发invalid_request
回调中 Exchange 换 token 并校验 ID Token 的硬性要求
Keycloak 返回的 id_token 是 JWT，不能直接信任；必须用 Keycloak 提供的 JWKS 端点做签名验证，否则攻击者可伪造 token。
- 用
oidc.Provider初始化时，issuer 必须是https://keycloak.example.com/auth/realms/<realm>（注意结尾无斜杠），和 Keycloak Admin Console 中 Realm Settings → General → Frontend URL 保持一致 - Exchange 后拿到
id_token字符串，传给verifier.Verify(ctx, idToken)；别跳过这步，也别用字符串解析代替 JWT 库校验 - 若要读取用户邮箱、姓名等字段，确保 Keycloak Client 的 Mappers 中已添加
profile和emailscope 对应的 mapper，并勾选 “Add to ID token”
Beego Session 与 Keycloak Logout 不同步的问题
用户在 Keycloak 管理后台点 “Logout All Sessions”，Beego 本地 session 依然有效 —— 因为 Keycloak 不主动通知你的服务，这是设计使然，不是 bug。
- 必须在 Beego 中显式提供
/logout接口，调用 Keycloak 的POST /realms/{realm}/protocol/openid-connect/logout，并带上用户的refresh_token - Beego session 清除（
this.DelSession("user_id")）和 Keycloak logout 请求必须放在同一事务逻辑里，否则会出现“登出一半”的状态 - 如果用了 Redis 做 Beego session store，注意
Options.MaxAge应设为略小于 Keycloak 的 Access Token Life（比如后者是 5m，前者设 4m30s），避免 token 过期但 session 还挂着
真正卡住人的从来不是 Beego 写法，而是 Keycloak 后台那几处大小写、斜杠、scope、mapper 的配置细节 —— 它们不出错时一切丝滑，错一个就 400 或空字段，且错误信息几乎不提示具体哪项不对。
