如何在 Go 中使用 OAuth2 正确获取 Google 用户邮箱

本文详解如何在 golang 中通过 google oauth2 安全、可靠地获取用户邮箱地址，涵盖正确构造授权 url、交换令牌、调用 userinfo 端点、解析响应体等关键步骤，并澄清 `oauth2.config` 的线程安全与复用机制。

在 go 中集成 google OAuth2 获取用户邮箱时，一个常见误区是忽略了 http 响应体（response.Body）需要显式读取并关闭——直接打印 response 结构体只会看到空的 Body: {}，而真实数据实际存在于流式响应体中。此外，Google 已全面弃用 Google+ API（如 /plus/v1/people/me），推荐使用标准 OpenID Connect 流程，即通过 https://www.googleapis.com/oauth2/v3/userinfo 或更规范的动态发现端点获取用户信息。

✅ 正确流程：OpenID Connect 方式（推荐）

首先确保 oauth2.Config 使用标准 OIDC 作用域：

provider := oauth2.Config{     ClientID:     "your-client-id.apps.googleusercontent.com",     ClientSecret: "your-client-secret",     redirectURL:  "https://yourdomain.com/callback",     Endpoint:     google.Endpoint,     Scopes: []string{         "https://www.googleapis.com/auth/userinfo.email",         "https://www.googleapis.com/auth/userinfo.profile", // 可选，用于 name/picture         "openid", // 必须启用 OpenID Connect     }, }

⚠️ 注意：openid 是必需 scope，否则 userinfo 端点可能拒绝请求或返回不完整数据。

生成授权 URL 并处理回调后，完成令牌交换：

tok, err := provider.Exchange(ctx, authCode) // ✅ 使用 context（替代已废弃的 oauth2.NoContext） if err != nil {     http.Error(w, "Failed to exchange token: "+err.Error(), http.StatusInternalServerError)     return }  client := provider.Client(ctx, tok)

关键一步：调用 UserInfo 端点并读取响应体

// ✅ 正确端点（无需手动拼接，直接使用标准 OIDC userinfo endpoint） userInfoURL := "https://www.googleapis.com/oauth2/v3/userinfo"  resp, err := client.Get(userInfoURL) if err != nil {     http.Error(w, "Failed to fetch user info: "+err.Error(), http.StatusInternalServerError)     return } defer resp.Body.Close() // ✅ 必须关闭 Body  body, err := io.ReadAll(resp.Body) // ✅ 显式读取全部响应内容 if err != nil {     http.Error(w, "Failed to read response body: "+err.Error(), http.StatusInternalServerError)     return }  // 解析 jsON var userInfo struct {     Email      string `json:"email"`     EmailVerified bool `json:"email_verified"`     Name       string `json:"name"`     Picture    string `json:"picture"` } if err := json.Unmarshal(body, &userInfo); err != nil {     http.Error(w, "Failed to parse user info: "+err.Error(), http.StatusInternalServerError)     return }  log.Printf("User email: %s (verified: %t)", userInfo.Email, userInfo.EmailVerified)

? 进阶：使用 OpenID Connect 发现文档（更健壮）

为提升兼容性与未来可维护性，可先获取 Google 的 OpenID 配置（.well-known/openid-configuration），再从中提取 userinfo_endpoint：

resp, err := client.Get("https://accounts.google.com/.well-known/openid-configuration") if err != nil { /* handle */ } defer resp.Body.Close() body, _ := io.ReadAll(resp.Body)  var discovery map[string]interface{} json.Unmarshal(body, &discovery) userinfoEndpoint := discovery["userinfo_endpoint"].(string)  // 再次 GET userinfoEndpoint...

但对 Google 场景，https://www.googleapis.com/oauth2/v3/userinfo 是稳定且官方支持的端点，可直接使用，无需额外发现步骤。

? 关于 oauth2.Config 的复用性

oauth2.Config 是完全可复用的，它仅包含静态配置（ClientID、Secret、Endpoint 等），不保存任何用户会话或令牌状态。多个并发用户可安全共享同一个 provider 实例：

// ✅ 全局初始化一次即可（例如在 init() 或 main() 中） var provider = oauth2.Config{ /* ... */ }  // 每个 HTTP 请求中独立调用 Exchange 和 Client —— 安全、高效 func handleCallback(w http.ResponseWriter, r *http.Request) {     authCode := r.URL.Query().Get("code")     tok, _ := provider.Exchange(r.Context(), authCode) // 每次生成新 Token     client := provider.Client(r.Context(), tok)        // 每次生成新 Client     // ... }

✅ 提示：provider.Client() 返回的 *http.Client 是基于当前令牌的封装，线程安全；provider 本身无状态，适合高并发场景。

? 总结与最佳实践

• ✅ 始终使用 openid + email scope 组合，确保符合 OpenID Connect 规范；
• ✅ userinfo 端点必须是 https://www.googleapis.com/oauth2/v3/userinfo（非 /auth/… 错误路径）；
• ✅ 永远记得 io.ReadAll(resp.Body) + resp.Body.Close()，否则无法获取数据；
• ✅ oauth2.Config 是只读配置，全局复用无副作用；
• ❌ 避免使用已废弃的 Google+ API（/plus/v1/people/me），403 是必然结果；
• ✅ 使用 context.Context 替代 oauth2.NoContext（后者在较新版本中已弃用）。

遵循以上步骤，即可在 Go 应用中稳定、合规地获取 Google 用户邮箱，为登录、注册、个性化等功能提供可信身份依据。