Golang集成Azure OAuth2遇重复登录/登出后无法获取Token问题

核心问题排查与修复方案 #

1. 全局复用OAuth2配置或State值引发冲突

不少开发者会图省事把OAuth2的Config实例、state值存在全局变量里，这会导致多用户请求时互相覆盖，二次登录时用了过期的state去请求token，直接触发Azure的404错误。

修复方式：

• 每次登录请求生成独立随机state，存入用户会话（比如用gorilla/sessions），禁用全局state存储。
• 示例代码：

import (
    "crypto/rand"
    "encoding/base64"
    "net/http"
    "strconv"
    "time"
    "github.com/gorilla/sessions"
    "golang.org/x/oauth2"
)

// 初始化session存储（生产环境请勿用内存存储）
var store = sessions.NewCookieStore([]byte("your-strong-secret-key"))

// Azure OAuth2基础配置（全局实例可复用，state需动态生成）
var azureOauthConfig = &oauth2.Config{
    ClientID:     "your-client-id",
    ClientSecret: "your-client-secret",
    RedirectURL:  "https://your-domain/callback",
    Scopes:       []string{"User.Read"},
    Endpoint: oauth2.Endpoint{
        AuthURL:  "https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize",
        TokenURL: "https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/token",
    },
}

// 登录跳转Handler
func loginHandler(w http.ResponseWriter, r *http.Request) {
    // 生成随机state
    b := make([]byte, 16)
    rand.Read(b)
    state := base64.URLEncoding.EncodeToString(b)

    // 将state存入用户session
    session, _ := store.Get(r, "oauth-session")
    session.Values["state"] = state
    session.Save(r, w)

    // 跳转至Azure授权页面
    url := azureOauthConfig.AuthCodeURL(state, oauth2.AccessTypeOffline)
    http.Redirect(w, r, url, http.StatusTemporaryRedirect)
}

// 授权回调Handler
func callbackHandler(w http.ResponseWriter, r *http.Request) {
    session, _ := store.Get(r, "oauth-session")
    savedState := session.Values["state"].(string)
    reqState := r.URL.Query().Get("state")

    // 验证state一致性，防止CSRF
    if reqState != savedState {
        http.Error(w, "state mismatch", http.StatusBadRequest)
        return
    }

    // 清除session中的state，避免重复使用
    delete(session.Values, "state")
    session.Save(r, w)

    // 请求Token
    code := r.URL.Query().Get("code")
    token, err := azureOauthConfig.Exchange(r.Context(), code)
    if err != nil {
        http.Error(w, err.Error(), http.StatusInternalServerError)
        return
    }

    // 返回标准格式的Token响应
    w.Header().Set("Content-Type", "application/json")
    w.Write([]byte(`{
        "access_token":"` + token.AccessToken + `",
        "token_type":"` + token.TokenType + `",
        "expires_in":` + strconv.Itoa(int(token.Expiry.Sub(time.Now()).Seconds())) + `,
        "refresh_token":"` + token.RefreshToken + `"
    }`))
}

2. Azure应用注册的回调URL配置错误

如果回调URL带动态参数（比如/callback?user=xxx），但Azure应用注册中仅配置了/callback，会导致授权后跳转URL不匹配，触发后续Token请求404。此外要确保回调URL的协议（HTTP/HTTPS）与实际部署一致，Azure生产环境不允许HTTP协议。

修复方式：

• 登录Azure门户，进入应用注册→认证→添加平台→Web，添加完整的回调URL（比如https://your-domain/callback），不要带动态参数。
• 本地测试可启用http://localhost:port/callback，生产环境必须使用HTTPS。

3. 授权码重复使用或会话未清理

Azure OAuth2授权码为一次性有效，若登出时未销毁用户会话，二次登录可能复用旧授权码请求Token，直接返回404。

修复方式：

• 登出Handler需彻底销毁用户会话：

func logoutHandler(w http.ResponseWriter, r *http.Request) {
    session, _ := store.Get(r, "oauth-session")
    // 清空会话所有值
    session.Values = make(map[interface{}]interface{})
    // 设置过期时间为过去，强制删除Cookie
    session.Options.MaxAge = -1
    session.Save(r, w)
    http.Redirect(w, r, "/login", http.StatusTemporaryRedirect)
}

• 确保每次登录流程都重新获取新授权码，禁止复用旧code。

4. Token请求端点配置错误

Azure不同租户类型（单租户/多租户）的Token端点不同，若配置的TokenURL错误，首次请求可能因缓存巧合成功，后续请求则暴露问题。

检查与修正：

• 单租户端点：https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token
• 多租户端点：https://login.microsoftonline.com/common/oauth2/v2.0/token
• 确保azureOauthConfig.Endpoint.TokenURL与租户类型匹配。

验证步骤 #

1. 启动应用后，多次登录检查session中的state是否为随机值，每次登录均不同。
2. 回调阶段验证state与session存储值一致，避免冲突。
3. 确认Azure应用注册的回调URL与代码中RedirectURL完全一致。
4. 登出后清空session，重新登录检查Token请求是否正常返回标准格式响应。

内容的提问来源于stack exchange，提问作者Sreedevi Devadas