微信签名验证需手动排序拼接并SHA1，XML解析须处理CDATA和字段类型，access_token需缓存、预刷新与串行更新，code须5分钟内单次使用并幂等处理。
签名验证必须自己拼、排序、SHA1，别信“一键验签”
Go 没有内置函数能直接校验微信 signature，checkSignature 得手写。常见失败不是逻辑错，而是字符串处理不干净。
-
token、timestamp、nonce必须按字典序（sort.Strings）排序后拼接，不是按参数名顺序写死：token + timestamp + nonce是错的 - 微信传来的
signature是 hex 字符串（如"a1b2c3"），比对前必须用hex.DecodeString转成原始字节，不能直接和sha1.Sum([]byte).String()比 - 别用
r.URL.Query().Get("signature")取值——URL 解码可能被多做一次；改用r.FormValue("signature")更稳妥 - 本地调试时，建议硬编码一组已知参数（比如微信开发工具里生成的），跑一遍 SHA1 输出，和微信给的
signature逐字节比对
XML 消息解析要防 CDATA 和字段类型错位
微信 POST 过来的消息是 XML，用 encoding/xml 解析时，字段 tag 写错一个字母就收不到内容，CDATA 更容易漏处理。
- 所有文本节点（比如
<Content><![CDATA[hello]]></Content>）必须用xml:",cdata"标记，否则解析为空字符串 -
MsgType、Event等字段类型要严格匹配：微信发的是字符串，别定义成int或bool；CreateTime是 Unix 时间戳（int64），不是字符串 - 响应时 HTTP header 必须设为
Content-Type: text/xml; charset=utf-8，且 body 不能带首尾空白或换行，否则微信认为响应非法
access_token 必须缓存+过期检查+串行刷新
调用微信 API（比如发送模板消息、获取用户信息）几乎都依赖 access_token，但它有效期只有 2 小时，且微信限制每小时调用量。硬编码或每次请求都去取，必挂。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 缓存要用线程安全结构，比如
sync.Map或封装好的cache.Cache（如github.com/silenceper/wechat/v2/cache） - 不能只靠 TTL 过期——得在取 token 前主动检查剩余有效期，提前 5 分钟刷新更稳妥
- 多个 goroutine 同时发现 token 过期时，必须串行化刷新（用
sync.Once或互斥锁），否则会并发刷出多个 token，旧 token 失效导致后续请求 40001 - 如果刷新失败，要有兜底策略：返回上一次有效 token + 记日志，而不是直接 panic 或返回空
网页授权 code 换取用户信息，5 分钟内必须用一次
通过 snsapi_userinfo 获取昵称、头像、OpenID，关键在 code 的使用时机和错误处理。
立即学习“go语言免费学习笔记（深入）”；
-
code是一次性票据，5 分钟未使用自动失效；拿到后应立即调用https://api.weixin.qq.com/sns/oauth2/access_token，不要存、不要延迟 - 微信返回的
access_token和openid是短期凭证，但openid是长期有效的，可存库用于后续绑定自有账号 - 若接口返回
{"errcode":40163,"errmsg":"code been used"}，说明该 code 已被用过——前端不该重复提交，后端也要幂等处理（比如记录已用 code 的 set） - 注意
snsapi_base和snsapi_userinfo的 scope 差异：前者只能拿openid，后者才带用户信息，别配错
