Go中HMAC签名成败关键在于服务端与客户端使用完全相同的字节序列：密钥需严格匹配编码方式（raw/hex/base64），消息拼接顺序、URL编码、路径处理须一致，验签必须用hmac.Equal进行恒定时间字节比较，并配合时间戳、nonce防重放。
Go 语言里用 hmac 签名，核心不是“调对函数”，而是确保服务端和客户端算的是**完全相同的字节序列**——密钥、消息结构、编码方式、哈希输出格式，差一个字节就验不过。
hmac.New 必须传 []byte 密钥，不能传字符串再让 runtime 转
常见错误是写 hmac.New(sha256.New, "my-key")。Go 会把字符串按 UTF-8 转成 []byte，但很多服务端密钥其实是 hex 解码后的原始字节（比如从环境变量读 base64.StdEncoding.DecodeString(os.Getenv("API_SECRET"))）。如果两边密钥字节不一致，签名必然失败。
- 密钥来源必须明确：是 raw bytes？hex 字符串？base64 字符串？服务端怎么解，你就怎么解
- 硬编码测试时，直接用
[]byte{0x01, 0x02, ...}或[]byte("raw-secret")，避开编码歧义 - 生产环境别用
os.Getenv("KEY")原样传入——先确认该环境变量是否已做 base64/hex 解码
签名原文拼接顺序和服务端必须一字不差
Python 客户端用 hmac.new(key, b"ts=1717023456&uid=123", sha256).hexdigest()，Go 服务端就得构造完全一样的 []byte("ts=1717023456&uid=123")，多一个空格、少一个等号、字段顺序颠倒、URL 编码层级不同，全都会导致 hmac.Equal 返回 false。
- GET 请求参数：用
url.ParseQuery(r.URL.RawQuery)→ 按 key 字典序排序 →url.Values.Encode()拼出字符串 - 不要用
req.URL.Query().Encode()，它不保证排序；更别手拼"a="+a+"&b="+b，特殊字符会漏编码 - POST/PUT 的 body 参与签名时，统一用
sha256.Sum256(bodyBytes).Sum(nil)得到 32 字节 hash，再转 hex 参与拼接（如body_hash=abc...） - 路径只取
r.URL.Path，不带 query、不带 trailing slash 差异（/api/user≠/api/user/）
验签必须用 hmac.Equal，且输入必须是解码后的 []byte
写 if received == computed 不仅逻辑错（字符串比较地址），还引入时序攻击风险。而 hmac.Equal 是恒定时间比对，但只接受 []byte。
- 客户端传的是 hex 字符串（如
"a1b2c3..."），你得先hex.DecodeString(received)；传 base64 就用base64.StdEncoding.DecodeString -
hex.DecodeString失败要直接拒绝，别忽略错误或 panic —— 错误输入可能返回nil，hmac.Equal(nil, nil)返回true - 别在比对前 trim 空格或转大小写：hex 字符串必须严格 64 位小写（SHA256），大写需统一转小写再解码
- 确保 Go 版本 ≥ 1.3，且导入了
"crypto/hmac"；hmac.Equal未定义通常是版本太低或 import 错误
光验签名不够，时间戳和重放必须一起拦
HMAC 只保完整性和身份，不防重放。截获一次请求，5 分钟内重发，签名依然有效。
- 强制校验
ts参数：用time.Now().Unix()对比，允许 ±300 秒偏差，别用本地时区时间 - nonce 必须服务端存 Redis（key =
ts:uid:nonce，TTL=300），验证前先查是否存在；没 nonce 至少用ts+uid+client_ip做唯一键 - UID 必须是登录态用户 ID，不能是设备 ID——否则一个设备刷一堆请求就能绕过防重放
- 验证失败时返回明确错误，如
"invalid signature: timestamp expired"，别笼统写"unauthorized"
最常被忽略的其实是环境一致性：本地开发机时间不准、CI 环境 Go 版本旧、Docker 镜像里密钥被 base64 多解了一次、日志中间件偷偷改了 request body —— 这些都比算法本身更容易导致签名失败。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
