Revel框架不内置OAuth客户端支持，需手动集成net/http与golang.org/x/oauth2；无authProvider接口，所有流程须自行实现，且redirect_uri、state校验、error处理等安全细节必须严格把控。
Revel框架本身不内置OAuth客户端支持，必须手动集成标准HTTP流程或借助第三方库；直接用net/http + golang.org/x/oauth2是最可控、最贴近生产要求的方式。
为什么 Revel 没有现成的 authProvider 接口
Revel 是轻量级 MVC 框架，设计上不绑定任何认证方案。它不像 refine 或 Spring Security 那样提供抽象的 authProvider 或 OAuth2AuthorizedClientService。所有 OAuth 流程——跳转、回调、token 换取、用户信息拉取——都得你自己写 controller 方法并注册路由。
- Revel 的拦截器（
Interceptor）可以做登录态校验，但不参与 OAuth 协议流转 - 你无法靠配置项一键开启 GitHub 登录；
app.conf里填oauth.github.client_id没用，框架不会自动读取并构造oauth2.Config - 必须显式初始化
oauth2.Config实例，并在 handler 中调用AuthCodeURL和Exchange
RedirectURL 必须和平台注册值逐字节一致
这是本地开发和上线时 90% 的 400 错误根源。GitHub、Google、微信开放平台对 redirect_uri 校验极其严格：协议、域名、端口、路径、末尾斜杠，全部要完全匹配。
- 本地调试统一用
http://localhost:9000/auth/callback，并在各平台后台填一模一样的字符串（注意不是127.0.0.1，不是http://localhost:9000/auth/callback/） - 生产环境必须是 HTTPS，且证书有效；
https://example.com/auth/callback和https://example.com/auth/callback/是两个不同 URI - 微信要求
redirect_uri路径部分做 URL 编码（如%2Fauth%2Fcallback），GitHub 和 Google 不需要——别凭经验猜，查对应平台文档 - 调试时用
curl -v "https://github.com/login/oauth/authorize?client_id=xxx&redirect_uri=http%3A%2F%2Flocalhost%3A9000%2Fauth%2Fcallback"看重定向响应头，比翻日志快得多
state 参数必须自己生成、存储、恒定时间比对
golang.org/x/oauth2 包完全不处理 state：不生成、不存 session、不校验。漏掉它，攻击者可伪造授权请求，把 code 截获到自己服务器上换 access_token。
- 生成：用
crypto/rand.Read生成 32 字节随机数，再base64.URLEncoding.EncodeToString编码 - 存储：写入 HTTP Session（Revel 的
session.Set）或 Redis，key 为"oauth_state"，过期时间设为 5 分钟 - 校验：回调 handler 中从 query 取
state，从 session 取原值，用subtle.ConstantTimeCompare比对，失败立即返回 400 - 别用
==直接比字符串——会触发时序攻击
Exchange 后必须立刻校验 *oauth2.RetrieveError
oauth2.Config.Exchange 返回的 error 类型很关键：普通 error 表示网络或解析失败；而 *oauth2.RetrieveError 表示第三方明确拒绝（比如 invalid_grant、redirect_uri_mismatch），它的 Response 字段含原始 JSON 错误体。
- 必须显式类型断言：
if rErr, ok := err.(*oauth2.RetrieveError); ok { log.Printf("OAuth error: %s, body: %s", rErr.StatusCode, string(rErr.Body)) } - 常见错误码：
invalid_request（参数缺失）、invalid_client（client_id或client_secret错）、invalid_grant（code已用过或超时） - 不要忽略 error，也不要只打
err.Error()——*oauth2.RetrieveError的Body才是定位问题的关键 - Exchange 必须用当前 request 的 context：
config.Exchange(r.Context(), code)，否则超时控制失效
真正难的不是写通流程，而是每个环节都要补上安全钩子：state 防 CSRF、redirect_uri 严校验、token 存储加密、用户 ID 映射防冲突、scope 最小化。这些没做，跑通了也是裸奔。
