签名验签失败主因是signingstring不一致：必须严格按小写method、escapedpath、秒级timestamp、nonce、字典序标准化query、body_hash六项顺序，用\n分隔，且密钥为[]byte、hmac.new传函数指针、验签用hmac.equal并先解码。
签名验签失败，90% 不是算法写错，而是客户端和服务端拼出的 signingString 根本不一致——字段顺序、编码方式、body 读取时机、时间戳单位，差一个字符就全错。
signingString 拼接必须严格按六项顺序且用 \n 分隔
服务端还原签名原文时，必须和客户端完全一致：小写 HTTP 方法 + \n + r.URL.EscapedPath() + \n + 秒级 X-Timestamp 值 + \n + X-Nonce + \n + 标准化 query 字符串 + \n + body hash（若存在）。缺一不可，顺序不能调换，末尾不加 \n。
-
r.URL.Path已被自动 decode，必须用r.URL.EscapedPath()获取原始路径编码 - query 必须从
r.URL.RawQuery解析，手动排序键名（字典序），每个 value 先url.PathEscape()再拼接；禁用url.Values.Encode()—— 它会加空格、打乱顺序、忽略重复 key - body hash 必须基于原始字节：
bodyBytes, _ := io.ReadAll(r.Body)，之后用bytes.NewReader(bodyBytes)重建r.Body；别在json.Unmarshal后拼字符串再算 hash - 所有字段间统一用
\n分隔，不是&或空格；大小写全小写（如post，不是POST）
hmac.New 参数传错会导致 panic 或签名恒定不变
hmac.New 第一个参数必须是哈希构造函数（如 sha256.New），第二个参数必须是 []byte 类型密钥。传错任一参数，轻则签名恒定不变，重则编译失败或 panic。
- ❌ 错误：
hmac.New(sha256.New(), key)——sha256.New()返回实例，不是函数指针 - ✅ 正确：
hmac.New(sha256.New, key)——sha256.New后无括号 - 密钥必须从环境变量加载后直接转
[]byte：[]byte(os.Getenv("API_SECRET"))；若密钥是 base64 编码，必须先base64.StdEncoding.DecodeString()，别在运行时重复 decode - 每次签名都必须新建
hmac.Hash实例，不能缓存复用 —— 它非线程安全，高并发下会串值 - 算完必须调
h.Sum(nil)拿结果，不能直接读h.Sum字段（那是内部缓冲区）
验签前必须做三重校验，只比对签名值等于等于没签名
只验证 X-Signature 是否匹配，攻击者截包重放一次就能无限刷。必须同步校验时间戳、nonce 和签名三者。
- 时间戳校验用
abs(reqTime - time.Now().Unix()) > 300（±5 分钟），两端都用 UTC 时间；别混用time.Now().Unix()和time.Now().In(loc).Unix() - nonce 必须用 Redis
SETEX 300去重，不能用内存map—— 多实例部署时失效；key 可设为api:nonce:+fmt.Sprintf("%d:%s", ts, nonce) - 签名比对必须用
hmac.Equal(sig1, sig2)，不是==或bytes.Equal—— 否则存在时序攻击风险；且必须先hex.DecodeString()客户端签名，再与本地mac.Sum(nil)结果比对 - 若
hex.DecodeString失败（长度非 64、含非法字符），直接返回401，不进入比对逻辑；解码失败和比对失败不要返回不同状态码
body 读取后必须重置 r.Body，否则后续解析失败
HTTP 请求体是单次读取流。io.ReadAll(r.Body) 读完后，r.Body 就空了。后续调用 json.Unmarshal 或框架绑定（如 Gin 的 c.ShouldBindJSON）会得到 EOF 或空数据。
- 正确做法：读出原始字节 → 计算签名 → 用
io.NopCloser(bytes.NewReader(bodyBytes))重建r.Body - 必须在任何业务层解析前完成重置，顺序不能颠倒
- 若 body 可能很大（>1MB），应提前用
http.MaxBytesReader包裹原始r.Body，防内存耗尽 - 别用
c.GetRawData()（Gin）：它只能调一次，且调用后c.Request.Body不可再用
最常被忽略的是：签名原文中 query 的编码方式、body 的原始字节读取时机、以及 nonce 在多实例下的去重存储方式 —— 这三点出错，验签永远失败，但错误日志里看不出任何异常。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
