应新建独立http.Transport并封装签名逻辑：克隆请求、防重复头、绑定时间戳与nonce、统一处理body哈希、安全获取密钥，避免复用DefaultTransport及硬编码密钥。
RoundTripper 里加签名头，别碰 DefaultTransport
直接修改 http.DefaultTransport 是危险的——它被所有未显式指定 Client 的请求共享，改了会影响整个进程里其他 HTTP 调用（比如 Prometheus metrics 上报、健康检查等）。必须新建一个独立的 http.Transport 实例，再套上自定义 RoundTripper。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
&http.Transport{}新建干净实例，不要复用http.DefaultTransport - 把自定义签名逻辑封装成一个结构体，实现
RoundTrip(*http.Request) (*http.Response, error)方法 - 在
RoundTrip开头就 clone 请求：req = req.Clone(req.Context())，避免修改原始*http.Request（某些中间件或重试逻辑会依赖原始状态） - 签名头写入前检查
req.Header是否已存在同名 header，避免重复添加（有些服务端校验会拒收重复签名头）
签名内容必须包含时间戳和随机 nonce
只对 URL 或 body 签名是不够的。攻击者可以截获并重放请求，所以服务端通常要求签名中绑定时效性和唯一性因子。常见组合是 X-Timestamp + X-Nonce + 签名本身。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
-
X-Timestamp用 Unix 秒级时间（time.Now().Unix()），服务端允许 ±15 分钟偏差，太长容易被重放 -
X-Nonce用crypto/rand.Read生成 16 字节随机数，再 hex 编码；别用math/rand，不安全 - 签名原文拼接顺序要和服务端严格一致：通常是
method + \n + path + \n + timestamp + \n + nonce + \n + body_hash，漏掉换行或大小写错一个字符，签名就失效 - body 需提前读取并重设
req.Body，否则后续http.Client发送时 body 已关闭或为空
GET 请求没 body，但签名逻辑不能跳过 body_hash
很多同学看到 GET 就直接跳过 body 处理，结果签名失败。服务端往往统一要求计算 body_hash（空字符串的 SHA256），否则校验通不过。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 无论
req.Method是什么，都走统一 body 处理流程：先ioutil.ReadAll(req.Body)（Go 1.19+ 用io.ReadAll），再用bytes.NewReader(bodyBytes)重置req.Body - 对空 body，
body_hash固定为sha256.Sum256([]byte{}).Hex()，不是空字符串也不是 "0" - 如果服务端明确要求 GET 不参与 body 签名，那也要在代码里显式判断
req.Method == "GET"并跳过，不能靠“默认没 body 就不管”来蒙混
签名密钥千万别硬编码或从环境变量直读
密钥一旦泄漏，等于开放 API 权限。线上环境必须通过可信凭据系统获取，本地开发才可降级为环境变量。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 生产环境优先用 AWS KMS / HashiCorp Vault / 阿里云 KMS 解密密钥，解密后只存内存，不打日志、不透出到 pprof
- 本地开发可用
os.Getenv("API_SECRET")，但必须加非空检查和 panic 提示，避免静默使用空密钥导致签名恒定失败 - 密钥长度要匹配签名算法：HMAC-SHA256 要求至少 32 字节密钥，短于该长度会被 Go 的
hmac.New自动填充，但服务端可能不兼容 - 签名函数里别用全局变量存密钥，每次
RoundTrip都应从安全存储按需获取（或缓存带 TTL 的句柄）
最常被忽略的是 body 重放和密钥生命周期管理——body 不重置，后续中间件或重试会读不到；密钥长期不轮换，一旦泄漏就是持久风险。这两点不出问题时没人注意，一出就是线上事故。
