二要素认证用姓名和身份证号，三要素在此基础上增加手机号。
二要素认证用什么字段，三要素又多了哪一项
二要素实名认证通常指 姓名 + 身份证号，三要素则在此基础上增加 手机号（且需验证该号码实名归属与身份证一致）。注意：不是所有接口都支持三要素——有些第三方服务（如腾讯云、阿里云实人认证）只提供“姓名+身份证”校验，手机号需额外调用运营商实名核验接口（如三大运营商的 mobileIdCardVerify）才能闭环。
实际开发中容易踩的坑是混淆“三要素”定义：有人误把“银行卡号”当第三项，但金融级实名认证中，银行卡号属于四要素范畴；还有人直接拼接三个字段发给同一接口，结果返回 INVALID_PARAMETER —— 因为多数 SDK 要求三要素必须分两次调用（先身份证核验，再手机号核验）。
Go 里怎么封装统一的认证入口函数
建议定义一个结构体承载认证请求，用字段标记认证类型，避免写多个同质化函数：
type AuthRequest struct {
Name string `json:"name"`
IDCard string `json:"id_card"`
Mobile string `json:"mobile,omitempty"` // 仅三要素需要
Mode string `json:"mode"` // "two" or "three"
}
然后用 switch 分流处理逻辑：
- Mode ==
"two"：直接调用身份证核验 SDK（如qqcloud.IdCardVerification） - Mode ==
"three"：先调qqcloud.IdCardVerification，成功后再调operator.VerifyMobileID（需提前配置运营商通道） - 任一环节失败，立即返回错误，不继续后续步骤
别把手机号校验逻辑硬塞进身份证接口回调里——Go 的 context.WithTimeout 控制不好容易导致超时嵌套，建议每个子调用独立设超时（比如身份证 1.5s，手机号 2s）。
如何处理常见错误码并做降级
真实环境里，INVALID_IDCARD_FORMAT、NAME_NOT_MATCH、MOBILE_NOT_REGISTERED 这类错误必须分类响应，不能全扔 500 Internal Server Error。
推荐做法：
- 身份证格式错误 → 返回
400 Bad Request+ 提示“身份证号格式不正确” - 姓名不匹配 →
401 Unauthorized+ “姓名与身份证信息不符” - 手机号未实名或非本人 →
403 Forbidden+ “手机号未完成实名认证，请确认是否本人持有” - 第三方服务不可用（如
ServiceUnavailable）→ 记录日志，返回503 Service Unavailable，并触发熔断（可用gobreaker库）
特别注意：三要素场景下，如果身份证核验通过但手机号校验失败，不要自动回退成二要素成功——业务上这是两个独立契约，必须明确告知用户“三要素未通过”，否则可能引发合规风险。
证书和敏感参数怎么安全传给下游服务
Go 模块里千万别把密钥写死在代码或 config.json 里。正确姿势：
- 使用
os.Getenv("QQCLOUD_SECRET_KEY")读取环境变量，部署时由 K8s Secret 或 Vault 注入 - 调用 HTTPS 接口时，强制校验下游证书（禁用
InsecureSkipVerify: true），尤其运营商接口对 TLS 版本有要求（如仅支持 TLS 1.2+） - 身份证号和手机号在日志中必须脱敏，例如用
fmt.Sprintf("%s****%s", idCard[:6], idCard[14:])，且禁止打到 access log
有个隐蔽坑：某些国产 SDK 内部用了 http.DefaultClient，你全局设置了 Transport 也无效——得自己 new 一个 client 传进去，否则 TLS 配置不生效。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
