微信回调返回400或空body是因为其请求格式为text/xml或application/x-www-form-urlencoded，而Gin默认不解析这两种格式，需用c.ShouldBindXML()处理事件推送、c.Query()获取OAuth2.0参数，并注意XML字段命名、CDATA处理、redirect_uri编码、state校验、内网穿透配置及签名验证等细节。
微信回调为什么总是 400 或空 body？
因为微信服务器发来的请求既不是 application/json，也不是表单，而是原始 text/xml（关注/扫码事件）或 application/x-www-form-urlencoded（OAuth2.0 授权回调）。Gin 默认不解析这两种格式，c.ShouldBindJSON() 或 c.ShouldBind() 都会失败。
必须显式声明接收方式：
- 对于微信公众号事件推送（如关注、扫码、消息），用
c.ShouldBindXML(&msg)，且结构体字段需带xml:tag - 对于 OAuth2.0 回调（
/callback?code=xxx&state=yyy），直接用c.Query("code")和c.Query("state")—— 不要试图 BindQuery，微信不走 POST 表单提交 - 别在路由里加
POST方法限制：微信所有回调都是GET（OAuth）或POST（事件），但 Gin 路由需声明Any或同时注册GET/POST
c.ShouldBindXML 解析失败的常见原因
微信事件推送是标准 XML，但字段命名和嵌套容易踩坑。比如 <event>subscribe</event> 对应 Go 结构体字段名必须小写 + xml:"Event"，否则解不出值。
典型结构体示例：
立即学习“go语言免费学习笔记（深入）”；
type CallbackMessage struct {
ToUserName string `xml:"ToUserName"`
FromUserName string `xml:"FromUserName"`
CreateTime int64 `xml:"CreateTime"`
MsgType string `xml:"MsgType"`
Event string `xml:"Event"`
EventKey string `xml:"EventKey"`
}
注意点：
Wechat MP Article Stats Comments Suite - 微信公众号管理套件
下载
公众号运营：文章发布至草稿、样式封面、评论与用户管理、数据统计等。用户要求将 Markdown 发送到公众号草稿、查看阅读量统计或类似后台操作时，使用本技能。
-
CreateTime是 Unix 时间戳（秒级），不是字符串，别用string类型 - 微信字段名大小写敏感，
EventKey不能写成event_key - 如果 XML 含 CDATA（如文本消息的
Content），Gin 的ShouldBindXML默认不处理，得手动用io.ReadAll(c.Request.Body)再解析
OAuth2.0 回调中 code 拿不到或失效？
微信返回的 code 是一次性、5 分钟有效期，且必须用对应 AppID/AppSecret 换取 access_token。本地调试时最容易忽略的是 redirect_uri 编码问题和 state 校验。
关键检查项：
-
redirect_uri必须和公众号后台配置的**完全一致**（包括协议、域名、端口、路径），且已做url.QueryEscape；未编码会导致微信拒绝回调 -
state参数必须原样传回，且建议绑定 session 或 JWT，防止 CSRF；微信不校验state合法性，但你得自己做 - 调用微信接口
https://api.weixin.qq.com/sns/oauth2/access_token时，必须用http.PostForm，不能用json.Marshal发 JSON - 响应体里
errcode字段存在即表示失败（哪怕 HTTP 状态码是 200），必须检查resp.ErrCode != 0
本地调试微信回调必须过的一关：内网穿透
微信服务器无法访问 localhost:8080，所以回调地址必须是公网可访问域名。硬部署到服务器太慢，推荐用 frp 或 ngrok 做内网穿透。
配置要点：
- frp client 配置中
custom_domains必须填你备案过的域名，微信不认免费二级域名（如 xxx.ngrok.io） - 穿透后，在公众号后台「开发」→「基本配置」→「服务器配置」填入
http://your-domain.com/callback，并确保 URL 和 Token 匹配 - Gin 路由注册别漏掉验证接口：
r.GET("/callback", wechat.ValidateHandler)，该接口要响应微信的echostr签名验证 - 别在本地用 HTTPS 测试——微信回调只发 HTTP 请求，Gin 启动时别开 TLS
最常被跳过的细节：微信回调请求头带 X-Real-IP，但内网穿透后可能为空；若你在中间件里依赖真实 IP 做限流或日志，得从 X-Forwarded-For 取值，而不是 c.ClientIP()。
