github webhook 签名校验必须用 bytes.equal 恒定时间比对 x-hub-signature-256 摘要，先 trimprefix 去掉 "sha256="，再校验原始字节；req.body 须一次性 io.readall，密钥从 os.getenv 获取，严禁硬编码。
GitHub Webhook 签名校验失败：X-Hub-Signature-256 怎么比对才安全
直接用 == 或 strings.Contains 比对 X-Hub-Signature-256 头和自己算的摘要，99%会失败——不是密钥错了，是比对方式违反 GitHub 安全规范。
- 必须从 header 提取完整值（如
"sha256=abc123..."），用strings.TrimPrefix去掉"sha256="前缀，再参与比对 - 不能用字符串相等判断，要用
bytes.Equal对原始字节摘要做恒定时间比对，防时序攻击 -
req.Body只能读一次：必须在 handler 开头就调用io.ReadAll(req.Body)得到[]byte，后续既用于 HMAC 计算，也用于json.Unmarshal - 密钥严禁硬编码或通过命令行传参，统一走
os.Getenv("GITHUB_WEBHOOK_SECRET")，启动前export GITHUB_WEBHOOK_SECRET="xxx"
Webhook handler 中执行 git pull 和 systemctl restart 权限怎么绕过
服务以普通用户（如 deploy）运行时，git pull 依赖 SSH key，systemctl restart 默认拒绝非 root 调用——这不是代码写错，是 Linux 权限模型的必然限制。
-
git pull需确保该用户 home 目录下有~/.ssh/id_rsa且权限为600，SSH config 指向正确 host 和 user - 不要直接 exec
"systemctl restart myapp.service"，改用sudo白名单：在/etc/sudoers添加deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart myapp.service - 执行命令时显式指定用户环境：
cmd.Env = append(os.Environ(), "HOME=/home/deploy")，否则 SSH agent 找不到 socket - 所有 exec 操作必须设
cmd.Dir为项目根目录，否则git不知道在哪 pull
Gin/Echo 路由里如何结构化处理不同事件类型（push、pull_request、release）
GitHub 发来的 payload 里 event 在 X-GitHub-Event header 中，不是 JSON body 里——很多人误解析 body 的 action 字段导致逻辑错乱。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 先读 header：
event := req.Header.Get("X-GitHub-Event")，值可能是"push"、"pull_request"、"release"等 - 不要用一个 struct 解析全部事件，按 event 类型分 dispatch：比如
if event == "push"就用PushEvent结构体，if event == "pull_request"就用PullRequestEvent - 每个结构体只定义实际用到的字段，避免
json.Unmarshal因字段缺失 panic；未用字段不声明，或加json:"-" - 对
push事件，重点看payload.Repository.FullName和payload.Ref（通常是"refs/heads/main"），别信payload.Branch（已弃用）
部署脚本里为什么不能直接写 cd /var/www/myapp && git pull
用 shell 字符串拼接执行命令看似简单，但路径含空格、特殊字符、shell 注入风险会让它在线上崩得毫无征兆。
- Go 的
exec.Command不经过 shell，所以exec.Command("cd", "/var/www/myapp")是无效的——cd是 shell 内置命令，得用cmd.Dir指定工作目录 - 所有路径必须用
filepath.Join拼接，避免手动写"/var/www/" + name导致路径穿越（如name = "../etc"） - git 操作失败时，
cmd.Run()返回 error，但 stdout/stderr 默认丢弃；务必捕获并记录cmd.CombinedOutput()，否则 debug 全靠猜 - 上线前加个轻量校验：比如检查
cmd.Dir下是否存在.git目录，不存在就提前 return，避免拉错仓库或初始化失败
真正的难点不在写几行 exec.Command，而在让每次 git pull 后的服务重启不中断流量、不残留旧进程、不因并发请求触发重复部署——这些都要靠信号监听、pid 文件、pre-stop hook 配合完成，而不是靠单次 HTTP handler 里的几行代码。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
