ต่อ Keycloak เข้ากับ Go จริง + migrate ตาราง users

go version go1.26.5 darwin/arm64
golang.org/x/oauth2            v0.36.0
github.com/coreos/go-oidc/v3   v3.20.0   # ลาก github.com/go-jose/go-jose/v4 v4.1.4 มาด้วย
goose version: v3.27.3
gorm.io/gorm                   v1.31.2   # หัวข้อ 8 และโค้ด handler ท้ายหัวข้อ 9
gorm.io/driver/postgres        v1.6.2
github.com/google/uuid         v1.6.0    # โค้ด handler ท้ายหัวข้อ 9 เรียก uuid.NewString()
PostgreSQL 16.15 on aarch64-unknown-linux-musl   # image postgres:16-alpine
Docker client 29.6.2 / server 29.5.2             # รันผ่าน colima ไม่ใช่ Docker Desktop

1 · บทนี้กำลังต่ออะไรเข้ากับอะไร

จากบทที่แล้ว Keycloak รันอยู่แล้วที่ localhost:8081 และมันเก็บผู้ใช้ของมันเองไว้ครบ — ชื่อ อีเมล รหัสผ่าน role
คำถามที่คนถามทันทีคือ: ถ้า Keycloak เก็บ user ให้แล้ว ทำไมเรายังต้องมีตาราง users ในฐานข้อมูลเราอีก

คำตอบสั้น ๆ คือ ของสองฝั่งเก็บคนละเรื่อง:

เหตุผลที่ตัดสินเรื่องนี้จริง ๆ คือข้อสอง — foreign key
ตาราง recipes ต้องมีคอลัมน์ที่ชี้ว่า "สูตรนี้ใครเขียน" และมันชี้ไปหาแถวในฐานข้อมูลเดียวกันได้เท่านั้น ชี้ข้ามไปหา user ที่อยู่ในฐานข้อมูลของ Keycloak ไม่ได้
เพราะแบบนี้ทุกระบบที่ใช้ identity provider ภายนอกจึงต้องมีตารางเงาของผู้ใช้ฝั่งตัวเองเสมอ และหัวข้อ 7 จะบอกว่าตารางเงานี้ต้องมีคอลัมน์อะไรเป็นพิเศษ

2 · Dependencies — oauth2 กับ go-oidc ต่างกันยังไง

สไลด์หน้า 49 มีแค่สองบรรทัดนี้ ไม่มีคำอธิบายอะไรเลย:

go get golang.org/x/oauth2
go get github.com/coreos/go-oidc/v3

คนใหม่จะงงว่าทำไมต้องลงสองตัว ในเมื่อมันก็เรื่องเดียวกัน คำตอบคือมันทำงานคนละครึ่งของกระบวนการ และไม่มีตัวไหนทำแทนกันได้:

ผลรันจริงของ go get ทั้งสองบรรทัด

$ go mod init oidcdemo
go: creating new go.mod: module oidcdemo

$ go get golang.org/x/oauth2
go: added golang.org/x/oauth2 v0.36.0

$ go get github.com/coreos/go-oidc/v3
go: added github.com/coreos/go-oidc/v3 v3.20.0

$ go list -m all
oidcdemo
cloud.google.com/go/compute/metadata v0.3.0
github.com/coreos/go-oidc/v3 v3.20.0
github.com/go-jose/go-jose/v4 v4.1.4
golang.org/x/oauth2 v0.36.0

สั่งไปสองบรรทัด แต่ได้มาสี่ module — สองตัวที่ไม่ได้สั่งคือ:
· go-jose/v4 เป็นตัวที่ทำงานเข้ารหัสจริง ๆ ให้ go-oidc (แกะ JWT, เช็คลายเซ็น)
· cloud.google.com/go/compute/metadata ติดมากับ oauth2 เพราะมันมีโค้ดฝั่ง Google รวมอยู่ในแพ็กเกจ

$ go build ./... ; echo "BUILD_EXIT=$?"
/Users/…/go-oidc/v3@v3.20.0/oidc/jose.go:3:8: missing go.sum entry for module providing
package github.com/go-jose/go-jose/v4 (imported by github.com/coreos/go-oidc/v3/oidc); to add:
	go get github.com/coreos/go-oidc/v3/oidc@v3.20.0
BUILD_EXIT=1

$ go vet ./... ; echo "VET_EXIT=$?"
(ข้อความเดียวกันเป๊ะ)
VET_EXIT=1

$ go mod tidy      # ไม่พิมพ์อะไรออกมาเลย = เรียบร้อย
$ go build ./... ; echo "BUILD_EXIT=$?"
BUILD_EXIT=0
$ go vet ./... ; echo "VET_EXIT=$?"
VET_EXIT=0

$ cat go.mod
module oidcdemo

go 1.26.5

require (
	github.com/coreos/go-oidc/v3 v3.20.0
	golang.org/x/oauth2 v0.36.0
)

require github.com/go-jose/go-jose/v4 v4.1.4 // indirect

สังเกตอีกอย่างใน go.mod หลัง tidy: cloud.google.com/go/compute/metadata หายไปแล้ว เพราะ tidy ตัดของที่โค้ดเราไม่ได้ใช้จริงออก — เหลือแต่ go-jose ที่ติดป้าย // indirect แปลว่า "เราไม่ได้ import เอง แต่ของที่เรา import ต้องใช้"

3 · โค้ด OIDC ครบ flow — ที่ compile ผ่านจริง

สไลด์บอกแค่ให้ลง library แต่ไม่ได้ให้โค้ดมา ผมเลยเขียนให้ครบทั้งเส้นแล้ว build ผ่านและ vet ผ่านจริง (ผลอยู่ในกล่องข้างบน)
ก่อนดูโค้ด ดูลำดับก่อน เพราะโค้ดจะอ่านง่ายขึ้นมาก — มันมีแค่ 6 ขั้น:

ทีนี้โค้ดจริง — ไฟล์ auth/auth.go ก้อนตั้งค่า
ก้อนนี้กับก้อนถัดไปคือไฟล์เดียวกัน วางต่อกันตามลำดับแล้ว go build ./... ผ่านเลย (ต้องอยู่ในโฟลเดอร์ auth/ ให้ตรงกับบรรทัด package)

package auth

import (
	"context"
	"errors"

	"github.com/coreos/go-oidc/v3/oidc"
	"golang.org/x/oauth2"
)

// Claims คือ field ที่เราสนใจจาก id_token ของ Keycloak
type Claims struct {
	Sub               string `json:"sub"`
	Email             string `json:"email"`
	Name              string `json:"name"`
	PreferredUsername string `json:"preferred_username"`
}

type Authenticator struct {
	provider *oidc.Provider
	oauth2   oauth2.Config
	verifier *oidc.IDTokenVerifier
}

func New(ctx context.Context, issuer, clientID, clientSecret, redirectURL string) (*Authenticator, error) {
	// ① ยิงไปอ่าน discovery document ตรงนี้เลย — ถ้า Keycloak ยังไม่ขึ้น บรรทัดนี้ error ทันที
	provider, err := oidc.NewProvider(ctx, issuer)
	if err != nil {
		return nil, err
	}

	cfg := oauth2.Config{
		ClientID:     clientID,
		ClientSecret: clientSecret,
		RedirectURL:  redirectURL,
		Endpoint:     provider.Endpoint(),           // ② ไม่ hardcode URL
		Scopes:       []string{oidc.ScopeOpenID, "profile", "email"},
	}

	return &Authenticator{
		provider: provider,
		oauth2:   cfg,
		verifier: provider.Verifier(&oidc.Config{ClientID: clientID}),
	}, nil
}

ต่อด้วยสองฟังก์ชันที่ handler เรียกใช้จริง — ขาไปกับขากลับ (ตัว handler เองอยู่ท้ายหัวข้อ 9)
ก้อนนี้เขียนต่อท้ายไฟล์ auth/auth.go เดิม จึงไม่มีบรรทัด package และไม่มี import ซ้ำอีก — context กับ errors ที่ใช้ตรงนี้ ประกาศไว้ในก้อนบนแล้ว

// LoginURL คือ URL ที่เรา redirect ผู้ใช้ไปหน้า login ของ Keycloak
func (a *Authenticator) LoginURL(state string) string {
	return a.oauth2.AuthCodeURL(state)
}

// Callback เอา code ที่ Keycloak ส่งกลับมาแลกเป็น token แล้ว verify id_token
func (a *Authenticator) Callback(ctx context.Context, code string) (*Claims, error) {
	tok, err := a.oauth2.Exchange(ctx, code)
	if err != nil {
		return nil, err
	}

	// ⚠️ id_token ไม่ได้อยู่ใน tok.AccessToken — ต้องดึงจาก Extra
	rawIDToken, ok := tok.Extra("id_token").(string)
	if !ok {
		return nil, errors.New("no id_token in token response")
	}

	idToken, err := a.verifier.Verify(ctx, rawIDToken)
	if err != nil {
		return nil, err
	}

	var c Claims
	if err := idToken.Claims(&c); err != nil {
		return nil, err
	}
	return &c, nil
}

provider, _ := oidc.NewProvider(ctx, "https://accounts.google.com")
ep := provider.Endpoint()
fmt.Println("AuthURL  =", ep.AuthURL)
fmt.Println("TokenURL =", ep.TokenURL)

cfg := oauth2.Config{ClientID: "my-client-id", RedirectURL: "http://localhost:8080/auth/callback",
	Endpoint: ep, Scopes: []string{oidc.ScopeOpenID, "profile", "email"}}
fmt.Println("AuthCodeURL =", cfg.AuthCodeURL("state-abc123"))

verifier := provider.Verifier(&oidc.Config{ClientID: "my-client-id"})
_, err = verifier.Verify(ctx, "this-is-not-a-jwt")   // จงใจส่งขยะเข้าไป

$ go run ./cmd/probe
AuthURL  = https://accounts.google.com/o/oauth2/v2/auth
TokenURL = https://oauth2.googleapis.com/token
AuthCodeURL = https://accounts.google.com/o/oauth2/v2/auth?client_id=my-client-id&redirect_uri=http%3A%2F%2Flocalhost%3A8080%2Fauth%2Fcallback&response_type=code&scope=openid+profile+email&state=state-abc123
Verify(ขยะ) ERROR = oidc: malformed jwt: go-jose/go-jose: compact JWS format must have three parts

4 · ตั้ง goose ใน .env — และ DSN ในสไลด์ที่ต้องรู้ก่อนพิมพ์ตาม

goose คือเครื่องมือ migration — โปรแกรมที่รันไฟล์ SQL ตามลำดับแล้วจำไว้ว่ารันถึงไฟล์ไหนแล้ว ทำให้ทุกคนในทีมและทุกเครื่องมีโครงสร้างตารางเหมือนกัน
สไลด์หน้า 50 บอกให้ใส่สามบรรทัดนี้ในไฟล์ .env:

# Setup .env file
# Goose
GOOSE_MIGRATION_DIR=./migrations
GOOSE_DRIVER=postgres
GOOSE_DBSTRING=postgres://postgres:Pe@devp00l@localhost:5432?database=wongnok

สองบรรทัดแรกตรงไปตรงมา — บอกว่าไฟล์ migration อยู่โฟลเดอร์ไหน และใช้ฐานข้อมูลชนิดไหน
บรรทัดที่สามคือ DSN (Data Source Name — สตริงเส้นเดียวที่บอกว่าจะต่อฐานข้อมูลที่ไหน ด้วย user อะไร รหัสอะไร) และมันมีสองจุดที่ผิดหลักการเขียน URL:

=== DSN: postgres://postgres:Pe@devp00l@localhost:5432?database=wongnok
net/url.Parse  -> user="postgres" password="Pe@devp00l" hasPassword=true host="localhost:5432" path="" rawquery="database=wongnok"
pgx ParseConfig-> host="localhost" port=5432 user="postgres" password="Pe@devp00l" database="wongnok"
lib/pq ParseURL-> "database='wongnok' host='localhost' password='Pe@devp00l' port='5432' user='postgres'"

=== goose up ===
2026/08/22 10:11:57 OK   20260822031131_create_users.sql (12.99ms)
2026/08/22 10:11:57 goose: successfully migrated database to version: 20260822031131

=== tables in DB 'postgres' ===
Did not find any relations.

=== tables in DB 'wongnok' ===
              List of relations
 Schema |       Name       | Type  |  Owner
--------+------------------+-------+----------
 public | goose_db_version | table | postgres
 public | users            | table | postgres
(2 rows)

$ psql "postgres://postgres:Pe@devp00l@localhost:5432/wongnok" -c "select current_database()"
psql: error: could not translate host name "devp00l@localhost" to address: Name does not resolve

$ psql "postgres://postgres:Pe@devp00l@localhost:5432?database=wongnok" -c "select current_database()"
psql: error: invalid URI query parameter: "database"

GOOSE_DBSTRING=postgres://postgres:Pe%40devp00l@localhost:5432/wongnok?sslmode=disable

$ psql "postgres://postgres:Pe%40devp00l@localhost:5432/wongnok" -c "select current_database()"
 current_database
------------------
 wongnok
(1 row)

goose อ่าน .env ให้เองไหม หรือต้อง export

บทเรียน 44 ย้ำว่าตัวแปรใน shell ที่ไม่ได้ export จะไม่ถึงโปรแกรมลูก คำถามคือ goose ที่เป็น CLI แยกตัว จะเห็นค่าใน .env ได้ยังไง
ผมทดสอบด้วยการลบตัวแปรทั้งสามตัวออกจาก environment ให้หมดก่อน แล้วสั่ง goose status:

$ env -u GOOSE_DRIVER -u GOOSE_DBSTRING -u GOOSE_MIGRATION_DIR goose status   # รันในโฟลเดอร์ที่มี .env
2026/08/22 10:15:27     Applied At                  Migration
2026/08/22 10:15:27     =======================================
2026/08/22 10:15:27     Sat Aug 22 03:14:26 2026 -- 20260822031131_create_users.sql

ทำงานได้ทั้งที่ไม่มี env สักตัว แล้วพอย้ายไฟล์ .env ออกจากโฟลเดอร์ รันคำสั่งเดิม:

Usage: goose DRIVER DBSTRING [OPTIONS] COMMAND
...
  -env string
    	load environment variables from file (default .env)

คำตอบอยู่ในบรรทัดสุดท้าย: goose CLI มี flag -env ที่ค่าเริ่มต้นคือ .env มันจึงโหลดไฟล์นี้ให้เองอัตโนมัติ
เงื่อนไขเดียวคือต้องรันในโฟลเดอร์ที่มีไฟล์ .env อยู่ — cd ไปที่อื่นแล้วสั่ง goose จะเจอหน้า usage แบบข้างบนทันที ซึ่งเป็นอาการที่คนเจอบ่อยแล้วนึกว่า goose พัง

5 · สร้างไฟล์ migration

สไลด์หน้า 50 ครึ่งล่างมีสองคำสั่ง:

# Make directory
mkdir migrations

# Create migration
goose create create_users sql

$ goose create create_users sql
2026/08/22 10:11:31 Created new file: migrations/20260822031131_create_users.sql

ไฟล์ที่ได้มีแค่นี้ — เป็นโครงเปล่าที่รอเราเติม:

-- +goose Up
SELECT 'up SQL query';

-- +goose Down
SELECT 'down SQL query';

บรรทัด -- +goose Up และ -- +goose Down หน้าตาเหมือน comment ของ SQL แต่จริง ๆ เป็นคำสั่งที่ goose อ่าน — มันแบ่งไฟล์เป็นสองส่วน: ส่วน Up รันตอน goose up (เดินหน้า) ส่วน Down รันตอน goose down (ถอยกลับ)
ห้ามลบสองบรรทัดนี้ ไม่งั้น goose จะไม่รู้ว่าจะรันอะไร

6 · เขียน migration create_users แล้วรันจริง

เนื้อ migration ตามสไลด์หน้า 51 — ผมพิมพ์ตามทุกบรรทัดแล้วรันจริง:

-- +goose Up
CREATE TABLE users (
  id UUID PRIMARY KEY,
  email VARCHAR(255) NOT NULL,
  name VARCHAR(255),
  bio TEXT,
  uid VARCHAR(255) NOT NULL,
  image_url TEXT,
  preferred_username VARCHAR(255),
  last_signed_in_at TIMESTAMPTZ,
  created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
  updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
  deleted_at TIMESTAMPTZ
);

CREATE UNIQUE INDEX idx_users_uid ON users (uid);
CREATE INDEX idx_users_email ON users (email);
CREATE INDEX idx_users_deleted_at ON users (deleted_at);

-- +goose Down
DROP TABLE IF EXISTS users;

goose up แล้วเข้าไปส่องด้วย psql ว่าได้ตารางหน้าตายังไงจริง ๆ:

$ docker exec day9check psql -U postgres -d wongnok -c '\d users'
                              Table "public.users"
     Column         |           Type           | Collation | Nullable | Default
--------------------+--------------------------+-----------+----------+---------
 id                 | uuid                     |           | not null |
 email              | character varying(255)   |           | not null |
 name               | character varying(255)   |           |          |
 bio                | text                     |           |          |
 uid                | character varying(255)   |           | not null |
 image_url          | text                     |           |          |
 preferred_username | character varying(255)   |           |          |
 last_signed_in_at  | timestamp with time zone |           |          |
 created_at         | timestamp with time zone |           | not null | now()
 updated_at         | timestamp with time zone |           | not null | now()
 deleted_at         | timestamp with time zone |           |          |
Indexes:
    "users_pkey" PRIMARY KEY, btree (id)
    "idx_users_deleted_at" btree (deleted_at)
    "idx_users_email" btree (email)
    "idx_users_uid" UNIQUE, btree (uid)

ตรงกับ SQL ในสไลด์ทุกบรรทัด สังเกตสองอย่าง:
· TIMESTAMPTZ โผล่ออกมาเป็น timestamp with time zone — มันคือชื่อเดียวกัน แค่เขียนย่อ
· คอลัมน์ id ไม่มี Default (ช่องขวาสุดว่าง) — จำจุดนี้ไว้ เดี๋ยวหัวข้อ 8 จะกลับมาที่บรรทัดนี้

up → down → up ให้ผลยังไง

$ goose status      # หลัง up
2026/08/22 10:11:57     Applied At                  Migration
2026/08/22 10:11:57     =======================================
2026/08/22 10:11:57     Sat Aug 22 03:11:57 2026 -- 20260822031131_create_users.sql

$ goose down
2026/08/22 10:14:26 OK   20260822031131_create_users.sql (5.22ms)

$ goose status      # หลัง down
2026/08/22 10:14:26     Applied At                  Migration
2026/08/22 10:14:26     =======================================
2026/08/22 10:14:26     Pending                  -- 20260822031131_create_users.sql

$ goose up
2026/08/22 10:14:26 OK   20260822031131_create_users.sql (8.73ms)
2026/08/22 10:14:26 goose: successfully migrated database to version: 20260822031131

$ goose version
2026/08/22 10:14:26 goose: version 20260822031131

สามอย่างที่ควรสังเกตจากผลนี้:
1. goose down ไม่พิมพ์บรรทัด successfully migrated… เหมือน up มันเงียบกว่า อย่าตกใจว่าไม่ทำงาน
2. down ถอยแค่หนึ่งขั้น ไม่ใช่ถอยหมดทุกไฟล์ — อยากถอยหมดต้องใช้ goose reset
3. คอลัมน์ Applied At โชว์ 03:11:57 ทั้งที่ตอนรันนาฬิกาเป็น 10:11:57

$ docker exec day9check psql -U postgres -d wongnok -c 'select * from goose_db_version;' -c 'show timezone;'
 id |   version_id   | is_applied |           tstamp
----+----------------+------------+----------------------------
  1 |              0 | t          | 2026-08-22 03:11:46.240423
  3 | 20260822031131 | t          | 2026-08-22 03:14:26.155434
(2 rows)

 TimeZone
----------
 UTC
(1 row)

$ date
Sat Aug 22 10:15:38 +07 2026

7 · ทำไมต้องมี uid ทั้งที่มี id อยู่แล้ว

ตารางนี้มีคอลัมน์ที่หน้าตาเหมือนรหัสประจำตัวอยู่สองตัว ซึ่งเป็นจุดที่คนอ่านสไลด์แล้วงงที่สุด
ทั้งสองตัวไม่ใช่ของซ้ำกัน มันเป็นรหัสของคนละระบบ:

แถวสุดท้ายคือเหตุผลจริง ๆ ที่ต้องแยกสองคอลัมน์
ลองคิดตามว่าถ้าเราขี้เกียจ แล้วเอา sub ของ Keycloak มาเป็น primary key ตรง ๆ เลย วันหนึ่งบริษัทเปลี่ยนไปใช้ Google Workspace หรือย้าย Keycloak ไปอีก realm — sub ของทุกคนเปลี่ยนหมด แปลว่า primary key เปลี่ยนหมด แปลว่าทุก foreign key ในทุกตารางที่ชี้มาหา user พังหมดพร้อมกัน
พอแยกเป็นสองคอลัมน์ วันนั้นเราแค่ UPDATE users SET uid = ... — ข้อมูลอื่นไม่รู้เรื่องด้วยเลย

นี่เป็นรูปแบบที่มีชื่อเรียกว่า internal ID กับ external ID และใช้กับทุกอย่างที่มาจากข้างนอก ไม่ใช่แค่ผู้ใช้ — เช่น stripe_customer_id หรือ line_user_id ก็ตรรกะเดียวกัน

แล้วทำไม uid ต้อง UNIQUE

ตอน login โค้ดจะทำสิ่งนี้: เอา sub จาก id_token ไปค้นว่า "คนนี้เคยมาแล้วหรือยัง" ด้วย WHERE uid = ?
ถ้าคำค้นนี้คืนมาสองแถว โค้ดจะทำอะไรถูก? แถวไหนคือ "เขา"? สูตรอาหารที่เขาเขียนไว้ผูกกับแถวไหน?
UNIQUE คือการบังคับให้คำถามนี้มีคำตอบเดียวเสมอ ในระดับฐานข้อมูล — ไม่ได้ฝากไว้กับความระวังของโค้ด

และมันสำคัญเพราะ race condition — สถานการณ์ที่สองคำขอวิ่งพร้อมกันแล้วเหยียบกัน
ผู้ใช้กดปุ่ม login รัว ๆ สองครั้ง เกิดสอง request พร้อมกัน ทั้งคู่ค้นแล้วไม่เจอ (เพราะยังไม่มีใครเขียน) ทั้งคู่จึงสั่ง INSERT
ถ้าไม่มี UNIQUE คุณได้ผู้ใช้ซ้ำสองแถวเงียบ ๆ · ถ้ามี ฐานข้อมูลจะปฏิเสธแถวที่สอง แล้วโค้ดค่อยจับ error นั้นแล้วไปอ่านแถวที่มีอยู่แทน
index ยังทำให้การค้นเร็วขึ้นด้วย เพราะทุก request ที่มี token ต้องค้นด้วย uid — ถ้าไม่มี index ฐานข้อมูลต้องไล่อ่านทั้งตารางทุกครั้ง

8 · เรื่องที่สไลด์ไม่ได้พูด — UNIQUE ชนกับ soft delete

ก่อนอื่นนิยามศัพท์: soft delete คือการ "ลบ" ที่ไม่ได้ลบจริง — แทนที่จะ DELETE แถวทิ้ง เราแค่ประทับเวลาลงคอลัมน์ deleted_at แล้วให้ทุก query กรองแถวที่มีค่าออกไป
ข้อดีคือกู้คืนได้ และข้อมูลที่ผูกอยู่ (สูตรอาหารของคนนี้) ไม่หายตามไปด้วย
คอลัมน์ deleted_at TIMESTAMPTZ กับ index idx_users_deleted_at ในสไลด์ คือรูปแบบที่ GORM รู้จักโดยตรง ผมยืนยันด้วยการรันจริง:

// field ที่ต้องประกาศฝั่ง GORM — ชนิดต้องเป็น gorm.DeletedAt เท่านั้น ไม่ใช่ *time.Time
DeletedAt gorm.DeletedAt `gorm:"index:idx_users_deleted_at"`

1) Create OK, id = bae1dc16-8585-4f91-bbe6-d30160e7dbdd
2) db.Delete() -> DeletedAt.Valid = true
3) Count() ปกติ (ถูกกรอง deleted_at IS NULL) = 0
4) Unscoped().Count() (นับแถวที่ soft delete ด้วย) = 1

บรรทัด 3 กับ 4 คือหัวใจ: Count() ธรรมดาได้ 0 (มองไม่เห็นแล้ว) แต่ Unscoped().Count() ได้ 1 — แถวยังอยู่ในตารางจริง ๆ GORM แค่แอบเติม WHERE deleted_at IS NULL ให้ทุก query

1. ผู้ใช้ sub = "oidc-sub-123" login ครั้งแรก  -> INSERT แถวใหม่ uid = 'oidc-sub-123'
2. ผู้ใช้กด "ลบบัญชี"                          -> UPDATE deleted_at = now()   (soft delete)
3. ผู้ใช้คนเดิม เปลี่ยนใจ login กลับเข้ามาใหม่     -> ???

INSERT 0 1                                # ขั้น 1 สมัครครั้งแรก
UPDATE 1                                  # ขั้น 2 soft delete
     uid      | soft_deleted
--------------+--------------
 oidc-sub-123 | t                         # แถวยังอยู่ในตาราง แค่ถูกทำเครื่องหมายไว้
(1 row)

# ขั้น 3 สมัครกลับเข้ามาด้วย uid เดิม
ERROR:  duplicate key value violates unique constraint "idx_users_uid"
DETAIL:  Key (uid)=(oidc-sub-123) already exists.

5) สมัครใหม่ uid เดิม -> err = ERROR: duplicate key value violates unique constraint "idx_users_uid" (SQLSTATE 23505)
6) FirstOrCreate        -> err = ERROR: duplicate key value violates unique constraint "idx_users_uid" (SQLSTATE 23505)

DROP INDEX idx_users_uid;
CREATE UNIQUE INDEX idx_users_uid ON users (uid) WHERE deleted_at IS NULL;

DROP INDEX
CREATE INDEX
INSERT 0 1                               # รอบแรก: สมัครใหม่หลัง soft delete → ผ่านแล้ว
     uid      | active
--------------+--------
 oidc-sub-123 | f                          # แถวเก่าที่ถูกลบ
 oidc-sub-123 | t                          # แถวใหม่ที่ยัง active
(2 rows)

ERROR:  duplicate key value violates unique constraint "idx_users_uid"
DETAIL:  Key (uid)=(oidc-sub-123) already exists.   # รอบสอง: ยังกัน uid ซ้ำในแถวที่ active อยู่

บั๊กเงียบอีกตัวจากบรรทัด id UUID PRIMARY KEY

ย้อนกลับไปดู \d users ในหัวข้อ 6: คอลัมน์ id ไม่มี DEFAULT แปลว่าฐานข้อมูลไม่ได้สร้าง UUID ให้ — โค้ดฝั่งเราต้องเซ็ตเอง
ผมลองรัน GORM แบบที่ลืมเซ็ต ID ดูสองรอบ (คนละ uid):

รอบแรก:
Create โดยไม่เซ็ต ID -> err=<nil>, id=00000000-0000-0000-0000-000000000000

รอบสอง (uid ต่างกัน):
Create โดยไม่เซ็ต ID -> err=ERROR: duplicate key value violates unique constraint "users_pkey" (SQLSTATE 23505)

แถวในตาราง:
                  id                  |    uid
--------------------------------------+-----------
 00000000-0000-0000-0000-000000000000 | no-id-set
(1 row)

9 · last_signed_in_at และ preferred_username มาจากไหน

สองคอลัมน์นี้ในสไลด์ไม่มีคำอธิบาย แต่มันไม่ใช่ของที่เราคิดขึ้นเอง — มันมาจากข้อมูลใน token ที่ Keycloak ส่งมา
นี่คือ payload จริงที่ผมถอดออกมาจาก token ของ Keycloak (ตัดเฉพาะบรรทัดที่เกี่ยว):

{
  "sub": "5da7f595-196f-44a6-8dfd-64306ce734d6",      // → คอลัมน์ uid
  "preferred_username": "chef1",                     // → คอลัมน์ preferred_username
  "name": "Chef One",                                // → คอลัมน์ name
  "email": "chef1@wongnok.dev",                      // → คอลัมน์ email
  "given_name": "Chef",
  "family_name": "One",
  "email_verified": true,
  "iat": 1787368445,
  "exp": 1787368745                              // = iat + 300 วินาที
}

สามแถวล่างคือคำตอบของคำถามในหัวข้อ 1 ว่า "ทำไมต้องมีตาราง users ในเมื่อ Keycloak เก็บให้แล้ว" — bio · image_url · last_signed_in_at เป็นของแอปเรา Keycloak ไม่มีให้และไม่ควรมี

สะพานที่ขาดไป — handler ที่พา Claims ลงตาราง users

ถึงตรงนี้บทนี้มีสองครึ่งที่ยังไม่ต่อกัน: หัวข้อ 3 ให้ auth.Callback ที่คืน *Claims มา และหัวข้อ 6 ให้ตาราง users — แต่ยังไม่มีโค้ดที่พา c.Sub ไปลงคอลัมน์ uid
ก้อนนี้คือสะพานนั้น เป็น handler สองตัวของ net/http ที่ผมคอมไพล์และรันจริงกับ Postgres ตัวเดิม (ไฟล์ httpx/handler.go) — และมันยังตอบเรื่อง state ที่หัวข้อ 3 ค้างไว้ด้วยว่า "สุ่มใหม่ทุกครั้งแล้วเทียบตอนกลับมา" เขียนยังไง
ก้อนนี้ต้องลงเพิ่มอีกสองตัวจากหัวข้อ 2 ก่อน แล้วค่อย go mod tidy: go get github.com/google/uuid · go get gorm.io/gorm (ส่วน gorm.io/driver/postgres ใช้ในไฟล์ที่เปิดคอนเนกชัน ไม่ใช่ไฟล์นี้)

package httpx

import (
	"crypto/rand"
	"encoding/base64"
	"net/http"
	"time"

	"github.com/google/uuid"
	"gorm.io/gorm"
	"gorm.io/gorm/clause"

	"oidcdemo/auth"   // ← บรรทัดแรกของ go.mod + ชื่อโฟลเดอร์ ถ้า module คุณชื่ออื่นก็แก้ตรงนี้
)

type User struct {                                 // map ตรงกับตารางในหัวข้อ 6
	ID                string `gorm:"type:uuid;primaryKey"`
	Email             string
	Name              string
	Bio               string
	UID               string `gorm:"column:uid"`
	PreferredUsername string
	LastSignedInAt    *time.Time
	CreatedAt         time.Time
	UpdatedAt         time.Time
	DeletedAt         gorm.DeletedAt                // ← ตัวนี้แหละที่เปิดโหมด soft delete
}

type Server struct {
	Auth *auth.Authenticator
	DB   *gorm.DB
}

// GET /auth/login — สุ่ม state ใหม่ทุกครั้ง เก็บใส่ cookie แล้วค่อย redirect
func (s *Server) Login(w http.ResponseWriter, r *http.Request) {
	b := make([]byte, 32)
	if _, err := rand.Read(b); err != nil {
		http.Error(w, "cannot generate state", http.StatusInternalServerError)
		return
	}
	state := base64.RawURLEncoding.EncodeToString(b)

	http.SetCookie(w, &http.Cookie{
		Name: "oauth_state", Value: state,
		Path: "/", HttpOnly: true, MaxAge: 300,
	})
	http.Redirect(w, r, s.Auth.LoginURL(state), http.StatusFound)
}

// GET /auth/callback — เทียบ state ก่อน แล้วค่อยเอา code ไปแลก token
func (s *Server) Callback(w http.ResponseWriter, r *http.Request) {
	saved, err := r.Cookie("oauth_state")
	if err != nil || saved.Value != r.URL.Query().Get("state") {
		http.Error(w, "state mismatch", http.StatusBadRequest)
		return
	}

	c, err := s.Auth.Callback(r.Context(), r.URL.Query().Get("code"))
	if err != nil {
		http.Error(w, err.Error(), http.StatusUnauthorized)
		return
	}

	now := time.Now()
	u := User{
		ID:                uuid.NewString(),      // ← หัวข้อ 8 บอกไว้: id ไม่มี DEFAULT เราต้องเซ็ตเอง
		UID:               c.Sub,               // ← claim sub ลงคอลัมน์ uid ตรงนี้
		Email:             c.Email,
		Name:              c.Name,
		PreferredUsername: c.PreferredUsername,
		LastSignedInAt:    &now,                // ← ไม่มีใน claim เราเซ็ตเอง
	}

	// upsert: มี uid นี้อยู่แล้ว = อัปเดต · ยังไม่มี = INSERT ใหม่
	if err := s.DB.Clauses(clause.OnConflict{
		Columns:     []clause.Column{{Name: "uid"}},
		TargetWhere: clause.Where{Exprs: []clause.Expression{clause.Expr{SQL: "deleted_at IS NULL"}}},
		DoUpdates: clause.AssignmentColumns([]string{
			"email", "name", "preferred_username", "last_signed_in_at", "updated_at",
		}),
	}).Create(&u).Error; err != nil {
		http.Error(w, err.Error(), http.StatusInternalServerError)
		return
	}

	http.Redirect(w, r, "/", http.StatusFound)
}

ผลรันจริง — login ซ้ำสองครั้งด้วย sub เดิม (หลังแก้ index เป็น partial ตามหัวข้อ 8 แล้ว):

$ go build ./... ; echo "BUILD_EXIT=$?"
BUILD_EXIT=0
$ go vet ./... ; echo "VET_EXIT=$?"
VET_EXIT=0

login #1 err = <nil>
after #1 -> rows=1  id=c38fd545-7be8-4c04-aee5-af687e93867a  last_signed_in_at=04:51:45
login #2 err = <nil>
after #2 -> rows=1  id=c38fd545-7be8-4c04-aee5-af687e93867a  last_signed_in_at=04:51:48

สองครั้งได้แถวเดียว · id ไม่เปลี่ยน · last_signed_in_at ขยับจาก 04:51:45 เป็น 04:51:48 — ตรงกับตารางข้างบนทุกช่อง

login #1 err = ERROR: there is no unique or exclusion constraint matching the ON CONFLICT specification (SQLSTATE 42P10)

login #1 err = <nil>
after #1 -> rows=1  id=0351bc34-73a3-4d5c-834e-baceac290515  last_signed_in_at=04:51:48

$ docker exec day9check psql -U postgres -d wongnok -c "select uid, deleted_at is null as active from users"
                 uid                  | active
--------------------------------------+--------
 5da7f595-196f-44a6-8dfd-64306ce734d6 | f          # แถวเก่าที่ถูกลบ ยังอยู่
 5da7f595-196f-44a6-8dfd-64306ce734d6 | t          # แถวใหม่ที่ยัง active
(2 rows)

10 · หน้า 53–54 — ให้ AI agent สร้าง migration ที่เหลือ

ตาราง users เป็นแค่ตารางแรก โปรเจกต์ wongnok ยังต้องการอีกหลายตาราง — recipes, difficulties, และตารางเชื่อมอื่น ๆ
สไลด์หน้า 53 โชว์การสร้างไฟล์ตัวถัดไปด้วยคำสั่งเดิม:

# Create migration
goose create difficalties sql

หน้า 54 คือจุดที่สไลด์เปลี่ยนวิธีทำงาน — แทนที่จะพิมพ์ SQL เอง ให้ AI agent เขียน migration ให้จากเอกสารออกแบบ ด้วย prompt นี้:

# Prompt

สร้างไฟล์ migrations ตาม docs/ARCHITECTURE.md โดยให้ทำเพียง
สร้างไฟล์อย่างเดียวเท่านั้นเพื่อนำไปรีวิวก่อน ไม่ต้องตรวจสอบและ migrate จริง

prompt นี้สั้นแต่มีของอยู่สามชิ้นที่วางไว้ตั้งใจ และเป็นเหตุผลที่มันใช้ได้จริง:

ท่อนที่สามคือท่อนสำคัญที่สุด และเชื่อมกลับมาที่ทั้งบทนี้พอดี: ทุกกับดักในหัวข้อ 8 เป็นสิ่งที่คนรีวิวเห็นได้ตอนอ่านไฟล์ แต่มองไม่เห็นถ้าปล่อยให้รันไปแล้ว
ทั้ง unique index ที่ชนกับ soft delete และ id UUID ที่ไม่มี default — ทั้งคู่ goose up ผ่านฉลุยทั้งคู่ ไม่มี error ให้เห็น
เกณฑ์รีวิว migration ที่ AI เขียนให้ ขั้นต่ำสามข้อ — ทั้งสามข้อมาจากสิ่งที่รันเจอในบทนี้:

1. ทุก UNIQUE INDEX บนตารางที่มี deleted_at — มี WHERE deleted_at IS NULL ต่อท้ายหรือยัง
2. ทุก PRIMARY KEY ชนิด UUID — มี DEFAULT ไหม ถ้าไม่มี ใครเป็นคนเซ็ตค่า
3. ส่วน -- +goose Down — เขียนย้อนกลับไว้ครบจริงไหม หรือปล่อยว่างไว้ (ซึ่งแปลว่าถอยไม่ได้)

บทเรียน 54 จะพูดถึงเรื่องใหญ่กว่านั้น คือโหมดการทำงานร่วมกับ AI agent ว่าจะสั่งงานแบบไหน ควบคุมขอบเขตยังไง ซึ่ง prompt หน้า 54 เป็นตัวอย่างหนึ่งของโหมดเหล่านั้น

ทดสอบความเข้าใจ

$ env -u GOOSE_DRIVER -u GOOSE_DBSTRING -u GOOSE_MIGRATION_DIR goose status
2026/08/22 10:15:27     Applied At                  Migration
2026/08/22 10:15:27     =======================================
2026/08/22 10:15:27     Sat Aug 22 03:14:26 2026 -- 20260822031131_create_users.sql

# หลังย้าย .env ออกจากโฟลเดอร์
Usage: goose DRIVER DBSTRING [OPTIONS] COMMAND
...
  -env string
    	load environment variables from file (default .env)

# .env ชี้ไปฐานที่ไม่มีอยู่จริง แต่ export ค่าที่ถูกทับหน้าคำสั่ง
$ GOOSE_DBSTRING='postgres://…/wongnok?sslmode=disable' goose status
2026/08/22 11:42:46     Applied At                  Migration
2026/08/22 11:42:46     =======================================
2026/08/22 11:42:46     Sat Aug 22 04:41:01 2026 -- 20260822044053_create_users.sql
# → อ่านฐาน wongnok ได้ปกติ แปลว่า env ชนะ .env

# สลับกัน: .env ถูก แต่ export ค่าที่พัง
$ GOOSE_DBSTRING='postgres://…/DOES_NOT_EXIST?sslmode=disable' goose status
2026/08/22 11:42:46 goose run: failed to ensure DB version: failed to connect to `user=postgres database=DOES_NOT_EXIST`:
	… (localhost): server error: FATAL: database "DOES_NOT_EXIST" does not exist (SQLSTATE 3D000)
# → พังทั้งที่ .env ถูก ยืนยันอีกทางว่า env ชนะ

 id |   version_id   | is_applied |           tstamp
----+----------------+------------+----------------------------
  1 |              0 | t          | 2026-08-22 03:11:46.240423
  3 | 20260822031131 | t          | 2026-08-22 03:14:26.155434
(2 rows)

อ้างอิง

• pkg.go.dev — oauth2.Config · Token.Extra — อ่านย่อหน้าของ Extra มันบอกตรง ๆ ว่าเก็บ field ที่ไม่ใช่มาตรฐาน OAuth2 ไว้ตรงนี้ ซึ่งอธิบายว่าทำไม id_token ต้องหยิบด้วยวิธีนี้
• pkg.go.dev — go-oidc/v3/oidc — ดู signature ของ NewProvider, Provider.Endpoint, Provider.Verifier · สังเกตว่า Verify คืน *IDToken ไม่ใช่ struct ของ claim
• OpenID Connect Core — Standard Claims — นิยามทางการของ sub, preferred_username, email, name · อ่านคำเตือนเรื่อง preferred_username ว่า spec ไม่รับประกันว่ามันไม่ซ้ำและไม่เปลี่ยน — เหตุผลที่เราใช้ sub เป็นสะพานแทน
• pressly/goose — README — รายการคำสั่งทั้งหมด (up, down, status, reset, version) และรายชื่อ env ที่มันอ่าน
• PostgreSQL 16 — Connection URIs — อ่านย่อหน้าที่บอกว่าอักขระพิเศษต้อง percent-encode และดูว่าชื่อฐานข้อมูลอยู่ส่วนไหนของ URI (คำตอบ: path ไม่ใช่ query)
• PostgreSQL 16 — Partial Indexes — ต้นทางของท่า CREATE UNIQUE INDEX … WHERE … ที่ใช้แก้ปัญหาในหัวข้อ 8
• GORM — Soft Delete — อ่านว่าทำไมชนิดต้องเป็น gorm.DeletedAt และ Unscoped() ใช้ตอนไหน
• pkg.go.dev — net/url.Parse — ที่มาของพฤติกรรม "ตัดที่ @ ตัวสุดท้าย" ที่ทำให้ฝั่ง Go รอด ส่วน libpq ไม่รอด
• บทเรียน 51 — Keycloak: Authorization Server ที่รันเอง — ที่มาของ issuer, jwks_uri และ claim ทั้งหมดที่หัวข้อ 9 ใช้
• บทเรียน 44 — Configuration & Environment Variables — เรื่อง export และไฟล์ .env ที่หัวข้อ 4 ต่อยอด