本文详解如何在 golang 中通过 google oauth2 安全、可靠地获取用户邮箱地址，涵盖正确构造授权 url、交换令牌、调用 userinfo 端点、解析响应体等关键步骤，并澄清 `oauth2.config` 的线程安全与复用机制。
在 Go 中集成 Google OAuth2 获取用户邮箱时，一个常见误区是忽略了 HTTP 响应体（response.Body）需要显式读取并关闭——直接打印 response 结构体只会看到空的 Body: {}，而真实数据实际存在于流式响应体中。此外，Google 已全面弃用 Google+ API（如 /plus/v1/people/me），推荐使用标准 OpenID Connect 流程，即通过 https://www.googleapis.com/oauth2/v3/userinfo 或更规范的动态发现端点获取用户信息。
✅ 正确流程：OpenID Connect 方式（推荐）
首先确保 oauth2.Config 使用标准 OIDC 作用域：
provider := oauth2.Config{
ClientID: "your-client-id.apps.googleusercontent.com",
ClientSecret: "your-client-secret",
RedirectURL: "https://yourdomain.com/callback",
Endpoint: google.Endpoint,
Scopes: []string{
"https://www.googleapis.com/auth/userinfo.email",
"https://www.googleapis.com/auth/userinfo.profile", // 可选，用于 name/picture
"openid", // 必须启用 OpenID Connect
},
}⚠️ 注意：openid 是必需 scope，否则 userinfo 端点可能拒绝请求或返回不完整数据。
生成授权 URL 并处理回调后，完成令牌交换：
tok, err := provider.Exchange(ctx, authCode) // ✅ 使用 context（替代已废弃的 oauth2.NoContext）
if err != nil {
http.Error(w, "Failed to exchange token: "+err.Error(), http.StatusInternalServerError)
return
}
client := provider.Client(ctx, tok)关键一步：调用 UserInfo 端点并读取响应体
// ✅ 正确端点（无需手动拼接，直接使用标准 OIDC userinfo endpoint）
userInfoURL := "https://www.googleapis.com/oauth2/v3/userinfo"
resp, err := client.Get(userInfoURL)
if err != nil {
http.Error(w, "Failed to fetch user info: "+err.Error(), http.StatusInternalServerError)
return
}
defer resp.Body.Close() // ✅ 必须关闭 Body
body, err := io.ReadAll(resp.Body) // ✅ 显式读取全部响应内容
if err != nil {
http.Error(w, "Failed to read response body: "+err.Error(), http.StatusInternalServerError)
return
}
// 解析 JSON
var userInfo struct {
Email string `json:"email"`
EmailVerified bool `json:"email_verified"`
Name string `json:"name"`
Picture string `json:"picture"`
}
if err := json.Unmarshal(body, &userInfo); err != nil {
http.Error(w, "Failed to parse user info: "+err.Error(), http.StatusInternalServerError)
return
}
log.Printf("User email: %s (verified: %t)", userInfo.Email, userInfo.EmailVerified)? 进阶：使用 OpenID Connect 发现文档（更健壮）
为提升兼容性与未来可维护性，可先获取 Google 的 OpenID 配置（.well-known/openid-configuration），再从中提取 userinfo_endpoint：
resp, err := client.Get("https://accounts.google.com/.well-known/openid-configuration")
if err != nil { /* handle */ }
defer resp.Body.Close()
body, _ := io.ReadAll(resp.Body)
var discovery map[string]interface{}
json.Unmarshal(body, &discovery)
userinfoEndpoint := discovery["userinfo_endpoint"].(string)
// 再次 GET userinfoEndpoint...但对 Google 场景，https://www.googleapis.com/oauth2/v3/userinfo 是稳定且官方支持的端点，可直接使用，无需额外发现步骤。
? 关于 oauth2.Config 的复用性
oauth2.Config 是完全可复用的，它仅包含静态配置（ClientID、Secret、Endpoint 等），不保存任何用户会话或令牌状态。多个并发用户可安全共享同一个 provider 实例：
// ✅ 全局初始化一次即可（例如在 init() 或 main() 中）
var provider = oauth2.Config{ /* ... */ }
// 每个 HTTP 请求中独立调用 Exchange 和 Client —— 安全、高效
func handleCallback(w http.ResponseWriter, r *http.Request) {
authCode := r.URL.Query().Get("code")
tok, _ := provider.Exchange(r.Context(), authCode) // 每次生成新 Token
client := provider.Client(r.Context(), tok) // 每次生成新 Client
// ...
}✅ 提示：provider.Client() 返回的 *http.Client 是基于当前令牌的封装，线程安全；provider 本身无状态，适合高并发场景。
? 总结与最佳实践
- ✅ 始终使用 openid + email scope 组合，确保符合 OpenID Connect 规范；
- ✅ userinfo 端点必须是 https://www.googleapis.com/oauth2/v3/userinfo（非 /auth/... 错误路径）；
- ✅ 永远记得 io.ReadAll(resp.Body) + resp.Body.Close()，否则无法获取数据；
- ✅ oauth2.Config 是只读配置，全局复用无副作用；
- ❌ 避免使用已废弃的 Google+ API（/plus/v1/people/me），403 是必然结果；
- ✅ 使用 context.Context 替代 oauth2.NoContext（后者在较新版本中已弃用）。
遵循以上步骤，即可在 Go 应用中稳定、合规地获取 Google 用户邮箱，为登录、注册、个性化等功能提供可信身份依据。
