Go处理微信公众号需手动实现签名验证（排序token/timestamp/nonce后SHA1）、用encoding/xml正确解析XML消息（注意CDATA和字段类型）、响应时设Content-Type为text/xml; charset=utf-8并避免空白，且必须部署在备案公网域名+80/443端口。
怎么用 Go 处理微信公众号的签名验证
微信服务器在推送事件或接收消息前，会要求你校验 signature、timestamp、nonce 和你配置的 Token。Go 里没有现成的「一键验签」函数，得自己拼、排序、SHA1。
常见错误是直接把三个参数按收到顺序拼接，或者忘了对 token 做 URL 解码（虽然通常没特殊字符，但微信文档明确说要以原始字符串参与计算）。
- 必须把
token、timestamp、nonce三个字符串字面量放进切片，用sort.Strings排序后拼接，再算sha1.Sum([]byte(...)) - 别用
http.Request.URL.Query()直接取值——微信有时会带多余空格或编码，建议用r.FormValue("signature")等显式取字段 - 验签失败时，微信不会告诉你哪一步错了，只返回 404 或空响应；建议在本地先用已知参数硬编码跑一遍 SHA1，和微信调试工具生成的比对
Go 怎么解析微信 XML 消息体
微信所有主动推送（关注、文本、事件等）都是纯 XML，不是 JSON，也不支持 Content-Type 自动识别。Go 的 encoding/xml 能用，但结构体标签稍不注意就解不出字段。
最常踩的坑是忽略命名空间和大小写：微信字段名全小写（如 msgtype），但 Go 结构体字段必须首字母大写，且 xml tag 里不能漏掉 chardata 类型字段（比如 Content 是 CDATA，得标 xml:",cdata"）。
立即学习“go语言免费学习笔记（深入）”；
- 推荐定义统一基础结构体，嵌入常用字段：
XMLName xml.Name `xml:"xml"`、ToUserName string `xml:"ToUserName"`、FromUserName string `xml:"FromUserName"`等 - 别用
map[string]string解析——XML 层级深、有重复标签（如item在图文消息里出现多次），map 会丢数据 - 注意
CreateTime是 Unix 时间戳整数，不是字符串，字段类型得是int64，否则xml.Unmarshal会静默失败
怎么安全地回发 XML 消息给微信服务器
微信要求响应必须是 XML、Content-Type 为 text/xml、且 HTTP 状态码是 200。Go 默认写响应不设 Header，容易被 Nginx 或 CDN 缓存或转义。
典型问题包括：XML 中文乱码（没设 Content-Type: text/xml; charset=utf-8）、< 被转义成 、响应体末尾多空行导致签名验证失败。
- 务必在
w.Header().Set("Content-Type", "text/xml; charset=utf-8")，少一个分号或空格都可能被微信拒绝 - 用
xml.Marshal后，别用fmt.Fprintf拼接，直接w.Write(data)；如果要加换行，只在末尾加一个\n，微信对空白敏感 - 测试时用
curl -v看真实响应头和 body，别信浏览器开发者工具——它会自动美化 XML，掩盖编码和空白问题
为什么本地调试收不到微信推送
不是代码问题，大概率卡在「网络可达性」上：微信服务器只访问你填在后台的服务器地址，且只支持 80 或 443 端口，不走代理，不支持内网穿透域名（如 xxx.ngrok.io）除非备案并加白名单。
很多开发者用 localhost:8080 本地跑，然后配了个内网穿透，结果微信根本连不上——它看到的是穿透服务的 IP，而那个服务没在微信后台白名单里。
- 真机调试唯一可靠方式：买台云服务器（哪怕最低配），部署后填公网 IP + 80 端口，微信能直连
- 用
ngrok http 8080之类工具，必须确保 ngrok 分配的域名已提交到微信公众号后台「JS 接口安全域名」或「业务域名」（部分接口强制要求） - 微信服务器请求超时是 5 秒，你的 handler 必须在 5 秒内返回，别在处理逻辑里加
time.Sleep或阻塞 IO，否则微信会反复重试，日志里一堆 504
微信公众号开发里，签名逻辑、XML 编解码、HTTP 响应细节这三块，任一环节差一个空格或大小写，都会静默失败。它不报错，只沉默，这点比大多数 API 都难调。
