第三方登录的回调入口，必须用 GET 路由来接，因为 OAuth2 授权页重定向回来时，本身就是携带 code 和 state 的 GET 请求；其中，state 一定要做校验，这是防 CSRF 的关键一道门；拿到 code 之后，换 token 这一步需要由后端发起安全的 POST 请求，而且要设置超时；微信这块也别踩坑，sns/userinfo 不能错用成 cgi-bin 接口；至于 JWT，建议统一映射为 provider/uid/extra_id 这套字段，同时避开敏感信息，这才稳妥。

第三方登录接口为什么不能直接用 Gin 的 POST 路由硬接授权码？

因为 OAuth2 流程里，前端跳转到微信/支付宝/Google 的授权页后，用户同意授权，服务商重定向回你的回调地址（如 /auth/callback），这个请求是 GET，带 code 和可能的 state 参数。你如果只写一个 POST 接口，根本收不到这个回调。

常见错误现象：404 Not Found 或 405 Method Not Allowed；或者日志里压根没打印出回调请求。

• 必须用 router.GET("/auth/callback", handler) 接收回调
• state 参数必须校验，否则存在 CSRF 风险（比如微信会把原始 state 原样带回）
• 不要在回调里直接返回 HTML 页面——除非你要做静默登录页；多数场景应返回 JSON 并由前端跳转或透传 token

如何安全地交换 code 换取 access_token？

拿到 code 后，得向第三方服务（如微信开放平台）发起 POST 请求换取 access_token，这步不能在前端做（会暴露 secret），必须由 Gin 后端调用。

关键点：Gin 本身不处理 HTTP 外部请求，要用 net/http 或 github.com/go-resty/resty/v2；别用 http.DefaultClient 硬编码超时，否则高并发下容易卡死。

• 微信示例 URL：https://api.weixin.qq.com/sns/oauth2/access_tokenappid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code
• 支付宝用 https://openapi.alipay.com/gateway.do + alipay.system.oauth.token 接口，需签名
• 务必设置 context.WithTimeout 控制单次请求不超过 5 秒，避免阻塞 Goroutine
• 响应体要检查 errcode 字段（微信）、code 字段（支付宝），不是 HTTP status 决定成败

access_token 换 user_info 时，为什么微信返回 invalid credential？

这大概是最容易踩的坑：微信的 access_token 其实分两类——网页授权用的 access_token（有效期 2 小时）和基础接口用的 access_token（有效期 2 小时，但需要全局缓存）。如果拿的是网页授权得到的 access_token，那它的用途也很明确，只能调 https://api.weixin.qq.com/sns/userinfo，不能去调 /cgi-bin/user/info。

错误现象：{"errcode":40001,"errmsg":"invalid credential"}，但 HTTP 状态码是 200。

• 确认 URL 是 sns/userinfo，不是 cgi-bin/user/info
• 参数必须用 access_token + openid，且 lang 可选，别传空字符串
• 微信对 access_token 和 openid 组合做了严格绑定，换过 code 就不能再用旧 access_token 查新用户
• 支付宝同理：必须用 alipay.user.info.share 接口，且需用户已授权 auth_base 或 auth_user 权限

登录成功后，JWT Token 该不该包含 openid 或 unionid？

应该包含，但别只存 openid。微信同一公众号下，openid 是用户级唯一标识；跨公众号或小程序，得靠 unionid（需用户关注过同一主体下的其他应用）。支付宝用 user_id 全局唯一。

容易被忽略的是：不同平台字段语义不一致，直接拼 JSON 会导致前端无法统一处理。

• 建议统一映射为 provider（值如 "wechat"、"alipay"）、uid（填 unionid 或 user_id）、extra_id（填 openid 或 logon_id）
• JWT 的 exp 别设太长——第三方账号本身无密码，一旦泄露风险比密码登录更高
• 别在 Token 里存敏感字段如手机号、邮箱，这些应走单独的 /user/profile 接口按需拉取

复杂点在于：同一个用户用微信和支付宝登录，你得判断是否是同一人（靠手机号或 unionid 对齐），而不是简单新建两条用户记录。

《夸克》非常好用的免费AI浏览器

下载APP查看