签名校验中间件必须放在业务 handler 之后、echo.HTTPErrorHandler 之前，即紧挨业务 handler 的上游；推荐写法为 e.POST("/api/v1/order", orderHandler, signatureMiddleware)，避免全局注册导致非 API 路径被误校验。
签名校验中间件该放在路由链的哪个位置
必须放在 echo.HTTPErrorHandler 之前、业务 handler 之后——更准确地说，是紧挨着业务 handler 的上游。因为签名校验失败要提前拦截请求，但又不能干扰错误处理逻辑（比如自定义 401 响应格式）。如果放错顺序，可能签名校验抛出 panic 后被全局 error handler 捕获，导致你无法返回标准的 401 Unauthorized 或携带 X-Signature-Error 头。
推荐写法：
e.POST("/api/v1/order", orderHandler, signatureMiddleware)
而不是用 e.Use(signatureMiddleware) 全局注册——除非你明确所有接口都要校验，且能接受静态资源、健康检查等路径也被强校验。
怎么从请求中提取待验签名和原始参数
Echo 的 c.Request().URL.Query() 和 c.Request().FormValue() 在不同 Content-Type 下行为不一致，容易漏掉 body 参数。正确做法是统一读一次 body，再解析：
- 对
application/json：用c.Bind()解析结构体后手动拼接字段（注意字段顺序和空值处理） - 对
application/x-www-form-urlencoded或multipart/form-data：调用c.Request().ParseForm()，再用c.Request().PostForm获取全部键值对 - 始终排除
sign、signature、timestamp（若用于防重放）等非业务字段 - 拼接规则建议固定为：按 key 字典序排序 →
key1=value1&key2=value2→ UTF-8 编码 → 签名
别直接用 c.QueryParam("sign") 就完事——攻击者可能在 query 和 form 中重复传参，导致校验绕过。
签名算法怎么和密钥安全配合
服务端不能硬编码密钥，也不能把密钥存在代码里。推荐方式：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 密钥从环境变量或配置中心加载，类型为
[]byte，避免字符串泄露到内存 dump - 使用
hmac.New()而非sha256.Sum256：HMAC 天然防长度扩展攻击 - 签名头建议用
X-Signature（而非Authorization: Signature ...），降低被 CDN 或代理误删风险 - 务必校验
timestamp是否在允许窗口内（如 ±300 秒），并记录已用过的 nonce（若启用）
示例关键片段：
h := hmac.New(sha256.New, []byte(os.Getenv("API_SECRET")))
h.Write([]byte(sortedQueryStr))
expected := hex.EncodeToString(h.Sum(nil))
if !hmac.Equal([]byte(expected), []byte(sign)) {
return echo.NewHTTPError(http.StatusUnauthorized, "invalid signature")
}
为什么校验失败时不能直接 c.JSON + return
因为 Echo 中间件的返回值会被上层忽略，c.JSON() 只是写响应体，但状态码仍是 200，且后续 handler 仍会执行。必须显式调用 return c.NoContent(http.StatusUnauthorized) 或 return echo.NewHTTPError(...) 并 立刻 return。
常见错误写法：
if !valid {
c.JSON(http.StatusUnauthorized, map[string]string{"error": "bad sign"})
return // ❌ 这里 return 只退出了中间件函数，不中断路由链
}
正确写法：
if !valid {
return echo.NewHTTPError(http.StatusUnauthorized, "invalid signature")
}
这个 return 是返回给 Echo 框架的 error，它会终止后续 handler 执行，并交由 HTTPErrorHandler 处理——所以你还得确保自定义 error handler 能把 NewHTTPError 渲染成 JSON。
