本文详解如何使用 `
golang
.org/x/oauth2` 和官方
facebook
适配器（`golang.org/x/oauth2/facebook`）实现安全、合规的 facebook 登录流程，涵盖授权码获取、令牌交换、用户信息拉取及常见错误规避。
在 Go 中集成 Facebook OAuth 2.0 认证时，一个典型误区是
手动拼接 /oauth/access_token 请求 URL 并重复使用授权码（code）
——这正是你遇到 "This authorization code has been used" 错误的根本原因。Facebook 的 OAuth 流程要求：
每个 code 仅能被 POST 到 https://graph.facebook.com/oauth/access_token 一次，且必须通过 application/x-www-form-urlencoded 方式提交（含 client_id、client_secret、redirect_uri 和 code），而非 GET 请求
。而你代码中既用 NewTransportFromCode()（已内部完成令牌交换），又额外发起 GET 请求，导致 code 被重复消费。
✅ 正确做法是：
统一使用 oauth2.Config.Exchange() 方法完成令牌交换
，它会自动构造符合规范的 POST 请求，并妥善处理响应。同时，应优先使用 golang.org/x/oauth2/facebook 提供的预配置 Endpoint，避免手动指定不兼容的授权/令牌端点（如旧版 dialog/oauth）。
以下是精简、可运行的完整示例（Go 1.18+）：
php版微信js-sdk支付接口类
php版微信js-sdk支付接口类
下载
?
关键注意事项
：
禁止手动构造 /oauth/access_token 请求
：oauth2.Config.Exchange() 已封装全部逻辑（包括 POST、表单
编码
、错误解析），自行拼接极易出错。
state 参数不可或缺
：必须在 AuthCodeURL() 和回调中严格校验，防止跨站请求伪造（CSRF）。
RedirectURL 必须完全一致
：需与 Facebook App 后台设置的「Valid OAuth Redirect URIs」精确匹配（含协议、端口、路径）。
使用 r.Context()
：oauth2.NoContext 已弃用，应传入 r.Context() 以支持超时和取消。
生产环境增强
：oauthStateString 应动态生成（如 crypto/rand），并绑定
session
；Token 应持久化存储（如数据库）；API 响应需结构化解析（推荐
js
on.Unmarshal）。
遵循此模式，即可稳定、安全地完成 Facebook OAuth 集成，彻底规避“authorization code has been used”等典型错误。
package main
import (
"fmt"
"io"
"log"
"net/http"
"net/url"
"strings"
"golang.org/x/oauth2"
"golang.org/x/oauth2/facebook"
)
var (
// 替换为你的 Facebook App 配置
oauthConf = &oauth2.Config{
ClientID: "YOUR_FACEBOOK_APP_ID",
ClientSecret: "YOUR_FACEBOOK_APP_SECRET",
RedirectURL: "http://localhost:9090/oauth2callback",
Scopes: []string{"public_profile", "email"},
Endpoint: facebook.Endpoint, // ✅ 使用官方预设端点，无需手动指定
}
oauthStateString = "random_state_string_123456" // 防 CSRF，务必每次登录生成唯一值（生产环境建议用 crypto/rand）
)
func handleMain(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Content-Type", "text/html; charset=utf-8")
fmt.Fprint(w, `
Facebook OAuth Demo
Login with Facebook
`)
}
func handleFacebookLogin(w http.ResponseWriter, r *http.Request) {
// ✅ 构造标准授权 URL（state 参数必须传递）
url := oauthConf.AuthCodeURL(oauthStateString, oauth2.AccessTypeOnline)
http.Redirect(w, r, url, http.StatusTemporaryRedirect)
}
func handleFacebookCallback(w http.ResponseWriter, r *http.Request) {
// ? 校验 state 防止 CSRF 攻击
state := r.FormValue("state")
if state != oauthStateString {
http.Error(w, "invalid state", http.StatusBadRequest)
return
}
code := r.FormValue("code")
if code == "" {
http.Error(w, "code not found", http.StatusBadRequest)
return
}
// ✅ 唯一正确方式：调用 Exchange 获取 token
token, err := oauthConf.Exchange(r.Context(), code) // 注意：r.Context() 替代已废弃的 oauth2.NoContext
if err != nil {
log.Printf("Exchange failed: %v", err)
http.Error(w, "Failed to exchange code for token", http.StatusInternalServerError)
return
}
// ✅ 使用 access_token 调用 Graph API
client := oauthConf.Client(r.Context(), token)
resp, err := client.Get("https://graph.facebook.com/me?fields=id,name,email,picture.width(200)")
if err != nil {
log.Printf("API request failed: %v", err)
http.Error(w, "Failed to fetch user data", http.StatusInternalServerError)
return
}
defer resp.Body.Close()
body, err := io.ReadAll(resp.Body)
if err != nil {
log.Printf("Read response body failed: %v", err)
http.Error(w, "Failed to read response", http.StatusInternalServerError)
return
}
log.Printf("User info: %s", string(body))
fmt.Fprintf(w, "Success! User data: %s", string(body))
}
func main() {
http.HandleFunc("/", handleMain)
http.HandleFunc("/login", handleFacebookLogin)
http.HandleFunc("/oauth2callback", handleFacebookCallback)
log.Println("Server starting on :9090")
log.Fatal(http.ListenAndServe(":9090", nil))
}