ルータへのマウント
op.New は *op.Provider を返します。*op.Provider は ServeHTTP メソッドを持つため、標準の http.Handler として扱えます。ライブラリは listener を 所有せず、どのルータを使うかにも 依存しません。
OP は組み込み側のルータの 1 段下、自前のハンドラと並ぶ位置に入ります。ミドルウェアは OP も含めて外側から包み、OP が受け持つパス以外はすべて組み込み側のものです。
net/http、chi、gin で使う
mux := http.NewServeMux()
mux.Handle("/", provider)
http.ListenAndServe(":8080", mux)r := chi.NewRouter()
r.Mount("/", provider)
http.ListenAndServe(":8080", r)r := gin.New()
r.Any("/*path", gin.WrapH(provider))
http.ListenAndServe(":8080", r)prefix の下で公開する
op.New(
op.WithMountPrefix("/oidc"),
/* ... */
)既定の /auth エンドポイントは /oidc/auth、/token は /oidc/token … となります。WithMountPrefix が変えるのは issuer 相対のプロトコルパスで、discovery のパスは変えません。ホストだけの issuer では discovery は /.well-known/openid-configuration です。issuer にパスが含まれる場合は、RFC 8414 の位置（/.well-known/openid-configuration/<issuer-path>）と OIDC Discovery 1.0 §4 の位置（/<issuer-path>/.well-known/openid-configuration）の両方で公開します。
カスタムエンドポイントパス
op.New(
op.WithEndpoints(op.Endpoints{
Authorize: "/oauth/authorize",
Token: "/oauth/token",
}),
/* ... */
)空フィールドは既定値を維持します。既定は OIDC Core 1.0 の慣習に従い /auth、/token、/userinfo、/end_session、/jwks です。ここに、オプションで有効化したプロトコルエンドポイント（/par、/introspect、/revoke、/register、/device_authorization、/bc-authorize、/grant_management など）が加わります。
OP が公開 しない もの
OP が組み込み側のルータに載せるものは、意図的に絞ってあります。
| OP が公開する | OP が公開しない |
|---|---|
| discovery（issuer に応じたパス） | /metrics（組み込み側が promhttp で公開） |
/jwks | /healthz、/readyz |
/auth、/token、/userinfo | リクエスト時間の histogram middleware |
/end_session | OpenTelemetry の HTTP サーバ span middleware |
オプション: /par、/introspect、/revoke、/register、/device_authorization、/bc-authorize、/grant_management | /debug/pprof の公開 |
オプション: /interaction/*、/session/*（SPA driver 使用時） | 汎用の IP 別 rate limiter |
これは意図的です。OP は 業務 メトリクスとログ / 監査イベントを op.WithPrometheus、op.WithLogger、op.WithAuditLogger 経由で、利用者が所有する sink に流します。OpenTelemetry のスパンは生成しません。
HTTP ライフサイクルの観測は組み込み側の責務です — otelhttp や promhttp.InstrumentHandler などで、自分の SRE 規約に合わせてルータをラップしてください。
TLS / Proxy
OP は TLS 終端 ingress の背後で動く想定です。op.WithTrustedProxies(cidrs ...) で、X-Forwarded-For を提供する proxy の範囲を許可リスト化してください。
proxy 側でクライアント TLS を終端し、RFC 8705 の証明書結び付けアクセストークン用に証明書をヘッダ転送する場合は、op.WithMTLSProxy(headerName, cidrs) をあわせて指定します。