接口签名必须在中间件统一拦截验签，而非handler中，因body只能读一次，且验签需在业务执行前完成；需严格归一化签名原文、校验时间戳与nonce、从原始raw字段提取数据以确保验签通过率。
接口签名必须在中间件里做，不能放到 handler 里——否则 body 被读过一次就关了，验签失败时业务逻辑可能已执行，状态不一致风险极高。
为什么必须用中间件统一拦截
验签不是“加个校验”，而是对请求完整性的强制守门。微信回调要求失败返回纯字符串 fail，支付宝要求响应含 success 字段且 HTTP 状态码为 200，一旦 handler 已开始解析或调用数据库，再返回错误就晚了。
- 所有回调入口（如
/pay/notify、/oauth/callback）必须被同一套逻辑覆盖，避免漏掉某个路径 - 中间件能确保
c.Request().Body只被读一次：先io.ReadAll拿原始字节，验签完再用io.NopCloser包装回 request body，供后续c.Bind()使用 - 全局
e.Use()容易误伤健康检查等免鉴权接口，推荐按路由分组注册：api := e.Group("/api"); api.Use(signatureMiddleware)
签名原文拼接必须严格归一化
不同平台规则差异极大，混用必挂。关键不是“怎么算”，而是“算什么”——字段顺序、编码、大小写、空格、浮点精度都影响结果。
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 微信 XML 回调：用
xml.Unmarshal解析后剔除sign字段，按 map key 字典序（全小写）拼接，末尾加key - 支付宝 form：从
r.URL.RawQuery或原始 body 解析url.Values，过滤sign和sign_type，键升序后拼key=value&key=value - PayJS JSON：直接对原始
rawBody计算hmac.New(sha256.New, []byte(secret))，别先json.Unmarshal再拼——JSON 序列化会破坏空格、换行、浮点精度 - 通用 API 接口：推荐拼接顺序为
method + path + timestamp + nonce + sorted_query_string + sha256(body)，其中path用r.URL.EscapedPath()，query从r.URL.RawQuery解析
时间戳、nonce 和密钥处理的硬性要求
没加防重放的签名等于裸奔。服务端容忍窗口和存储机制必须跟上，否则合法请求也会被拒。
- 时间戳校验：用
abs(req.Timestamp - time.Now().UnixMilli()) > 180000（±180 秒），别用time.Since——它依赖本地时钟单调性，NTP 调整可能导致误判 - nonce 去重：必须存 Redis，
SETEX nonce:abc123 60 "1"，失败直接c.String(http.StatusUnauthorized, "invalid nonce")并c.Abort() - 密钥加载：严禁硬编码，从
os.Getenv("SIGNING_SECRET")或 Vault 加载；v2 类型密钥长度 ≥32 字节，v3 类型必须是 PEM 格式私钥，类型传错会导致crypto/hmac: invalid key size - Content-Type 校验：先取
c.Request().Header.Get("Content-Type")，拒绝非预期类型（如微信回调收到application/json就该直接 400）
最常被忽略的一点：Nginx 或 API 网关可能自动 decode query、重写 path、吞掉 header。服务端不能信任 r.URL.Path 或 r.FormValue()，一切归一化操作必须基于原始 raw 字段——这是验签通过率的生死线。
