应选用官方 alipay-go SDK，它支持国际版和国内版双模式，已严格实现签名逻辑；避免手写 RSA 签名或使用非官方封装包。
支付宝 SDK 选哪个：alipay-go 还是自己封装？
官方 alipay-go SDK（github.com/alipay/global-open-sdk-go）是当前唯一推荐的 Go 官方维护库，它已支持国际版（Alipay+）和国内版（alipay.com）双模式。别用社区里那些年久失修、签名逻辑错漏百出的“封装包”，尤其别自己手写 RSA 签名——alipay-go 内部已严格校验 PKCS#1 v1.5 填充、Base64 编码边界、参数排序规则，手动实现极易在 sign_invalid 或 invalid-app-id 上卡住。
注意：alipay-go 不支持支付宝小程序支付（需调用 alipay.trade.create + 前端 my.requestPayment），也不覆盖当面付（扫码支付）的完整轮询逻辑，这些得自己补。
签名失败的三个高频原因
90% 的 sign_invalid 错误不是密钥错了，而是请求构造不合规：
-
app_id必须与你申请的公钥/私钥对完全匹配（沙箱环境用沙箱app_id，正式环境用正式app_id，混用必报错） - 所有参与签名的参数必须按字典序升序排列后拼接，且
sign和sign_type字段**不能参与排序和拼接**——SDK 会自动剔除，但如果你手拼字符串就容易漏掉 - 私钥必须是 PEM 格式、无密码、仅含
-----BEGIN RSA PRIVATE KEY-----块（不是-----BEGIN PRIVATE KEY-----，后者是 PKCS#8，alipay-go不认）
调试时打开 debug 模式：client.Debug = true，它会把最终用于签名的原始字符串打到日志里，直接比对是否与文档示例一致。
立即学习“go语言免费学习笔记（深入）”；
同步返回 vs 异步通知：怎么才算真正支付成功？
用户点击“确认支付”后，支付宝会重定向回你配置的 return_url，但这只是前端跳转，**不能作为支付成功的依据**——用户可能关掉页面、网络中断、甚至手动篡改 URL 参数。真正可靠的只有异步通知（notify_url）。
关键实操点：
-
notify_url必须是公网可访问的 HTTPS 地址（支付宝服务器只发 POST，且要求 200 响应，响应体必须为纯字符串success，多一个空格都算失败） - 收到通知后，**必须调用
client.VerifyNotification验证签名**，不能只校验trade_status === "TRADE_SUCCESS" - 通知可能重复发送（幂等性！），建议用
out_trade_no做数据库唯一索引，或用 Redis 记录已处理的notify_id
沙箱调试通不过？先检查这三处
沙箱环境看似简单，实际是坑最密集的地方：
- 沙箱买家账号必须用支付宝 App 扫描沙箱页面上的二维码登录，**不能用网页版沙箱账号直接付款**（否则交易状态永远卡在
WAIT_BUYER_PAY） - 沙箱公钥必须填在“沙箱应用”页的「接口加签方式」下，而不是「应用公钥证书」——后者是正式环境用的，填错会导致
invalid-signature - 调用
alipay.trade.page.pay时，product_code必须设为FAST_INSTANT_TRADE_PAY（网页支付），不是QUICK_WAP_PAY（手机网站），后者在沙箱不生效
沙箱里最常被忽略的是：支付宝不会真扣款，但会模拟“付款成功→发货→完成”全流程，所以你要等 5–10 秒再刷新订单状态，别一跳转回来就查库。
