Authlib Flask OAuth2初始化报错AssertionError: app not initialized，需先创建未绑定的oauth = OAuth()实例，再在create_app()中调用oauth.init_app(app)，且须在db.init_app(app)之后；注册GitHub时需配置app.config['GITHUB_CLIENT_ID']等全大写变量，名称与oauth.register('github', ...)一致；回调路由中必须调用authorize_access_token()获取token。
Authlib Flask OAuth2初始化报错 AssertionError: app not initialized
这是最常遇到的问题：直接在模块顶层调用 OAuth() 但没传 app，后续又忘了调用 init_app()。Authlib 的 OAuth 实例不是即用型对象，它需要显式绑定 Flask 应用生命周期。
- 必须先创建未绑定的实例：
oauth = OAuth() - 再在
create_app()或应用工厂函数里调用oauth.init_app(app) - 如果用了 Flask-SQLAlchemy，确保
oauth初始化在db.init_app(app)之后（否则注册远程应用时可能访问不到app.config）
注册 GitHub 远程应用时报 KeyError: 'client_id'
Authlib 要求所有 OAuth2 提供方配置必须通过 app.config 预设，且 key 名严格匹配。GitHub 官方文档写的是 client_id / client_secret，但 Authlib 内部读取时会自动转成小写并加前缀，实际要求的是 GITHUB_CLIENT_ID 这类全大写带下划线的变量名。
- 正确写法：
app.config['GITHUB_CLIENT_ID'] = 'xxx'、app.config['GITHUB_CLIENT_SECRET'] = 'yyy' - 注册时用
oauth.register('github', ...)，名称必须和配置前缀一致（不区分大小写，但推荐统一小写） - 如果手动传
client_id参数（绕过 config），需显式指定fetch_token和authorize_url等，容易漏掉token_endpoint_auth_method导致 401
oauth.github.authorize_redirect() 重定向后拿不到 code
Flask 默认不处理查询参数中的 code，Authlib 的 authorize_redirect() 只负责跳转，真正接收回调要靠你自己定义路由并调用 authorize_access_token()。
- 必须定义一个
@app.route('/auth/github/callback')路由 - 在该路由中调用
token = oauth.github.authorize_access_token()—— 这一步才会向 GitHub 请求 access_token - 如果返回
None，大概率是 state 不匹配（浏览器 cookie 丢失或跨域）、redirect_uri 不一致（开发时注意末尾斜杠）、或 GitHub App 设置里的Authorization callback URL没配对
如何安全存储用户 token 并支持刷新
Authlib 不内置 token 持久化逻辑，authorize_access_token() 返回的 token 默认只存在内存里。要支持刷新，必须自己实现 fetch_token 和 update_token 回调。
立即学习“Python免费学习笔记（深入）”；
-
fetch_token：用于从数据库查当前 token（按 user_id + provider），返回 dict（含access_token,refresh_token,expires_at） -
update_token：当 token 刷新后触发，把新值存回数据库（注意判断refresh_token是否更新） - 别忽略
expires_at字段：GitHub 返回的是expires_in秒数，需转成时间戳存；Authlib 刷新前会自动比对这个时间
InvalidGrantError）、跨域 session 共享、多 provider 动态注册——这些都不是开箱即用的。 
