Kratos框架不内置OAuth2客户端能力，需手动实现授权码流程三环节：重定向构造、回调接收、token换取与用户信息拉取；回调路由须显式注册并绕过JWT中间件，state校验、redirect_uri严格匹配、openid/id_token校验及OAuth2用户会话适配均为关键要点。
kratos框架不内置OAuth2客户端能力，得自己写中间件
Kratos 默认只处理本地密码登录和 JWT 验证，它不提供 oauth2Login() 这类开箱即用的配置。你要对接微信、GitHub 或公司统一认证中心，必须手动实现授权码流程的三个关键环节：重定向构造、回调接收、token 换取与用户信息拉取。Kratos 的 transport/http 和 middleware 是你唯一能依赖的基础设施。
回调路由必须显式注册，且不能被 JWT 中间件拦截
常见错误是把 /callback 路由写在 JWT 鉴权链路之后，导致未登录用户根本进不来——可 OAuth2 登录的第一步就是“用户没登录”。正确做法是：在 http.NewServer 初始化时，用 server.Handle("/callback", callbackHandler) 显式挂载，绕过所有全局中间件；或者在路由分组里单独设置 WithMiddleware() 为空列表。
- 回调地址必须和你在 OAuth2 平台（如 GitHub 后台）配置的
Redirect URI完全一致，包括末尾斜杠、协议（httpvshttps）、端口 -
state参数必须从 session 或 cookie 中读取并比对，否则存在 CSRF 风险；Kratos 默认没 session 支持，建议用go-session或直接存 Redis - 不要在回调 handler 里直接调
userRepo.Create()，先查重——同一用户可能用不同平台（微信 + GitHub）登录，需合并逻辑
换取 token 后别直接信任 userinfo，要校验 issuer 和 signature
很多团队拿到 access_token 就立刻调 /userinfo 接口，然后把返回的 sub 当用户 ID 存库。这是危险操作：如果认证中心没做 scope 限制，或你调的是非标准 OpenID Connect 端点（比如某些企业自建 OAuth2 服务只返回昵称邮箱），sub 可能不唯一、不可靠。更稳妥的做法是：
- 优先使用 OpenID Connect 的
id_token（JWT 格式），用认证中心提供的公钥验证签名，并从中提取iss、sub、aud - 若只有
access_token，务必确认/userinfo接口返回的sub字段是否由认证中心权威签发（有些平台返回的是临时 ID） - 对微信等非标准平台，
access_token换取的openid才是唯一标识，且必须配合appid使用，单独存openid无意义
用户本地会话建立要绕过 Kratos 默认的 User 结构体约束
Kratos 的 user.User proto 定义默认含 password 字段，但 OAuth2 用户没有密码。硬塞空字符串或占位符会导致后续鉴权逻辑混乱。实际做法是：
- 在数据库里为 OAuth2 用户生成随机
password_hash（如bcrypt.GenerateFromPassword([]byte(uuid.New().String()), 10)），仅用于满足字段非空约束 - 登录成功后，用
jwt.MakeToken()生成不含密码信息的 token，payload 里只放user_id和source（如"github"） - 后续每次请求走
jwt.AuthMiddleware，但鉴权逻辑要识别source字段，避免对 OAuth2 用户执行密码强度校验等冗余检查
最易被忽略的一点：Kratos 的 user.Service 默认假设所有用户都走密码登录流程，如果你没重写 CreateUser 和 Login 方法，OAuth2 用户创建后可能无法被 GetUserByID 正确加载——因为查询条件里隐含了 status = active AND password IS NOT NULL 这类逻辑。
