必须先配置好go环境再接入第三方支付sdk，否则会踩证书、签名、webhook验证三连坑：go版本需≥1.19，禁用goproxy，微信v3需手动加载apiclient_cert.pem，stripe webhook须用stripe-cli调试并原样读取body，支付宝异步通知必须调用client.verifynotification。
别用 go get 直接拉第三方支付 SDK —— 大部分会踩证书、签名、Webhook 验证三连坑，先配好环境再碰支付逻辑。
Go 环境必须用 1.19+，且禁用 GOPROXY
低于 1.19 的 Go 版本无法正确加载微信 v3 平台证书（X.509 v3 扩展字段解析失败），支付宝 v2 SDK 的证书链验证也会静默跳过。GOPROXY 会缓存旧版 SDK 或篡改 checksum，导致 alipay-sdk-go 或 wechatpay-go 的验签函数返回 signature verification failed 却查不出原因。
- 确认版本：
go version输出至少是go1.19.13或更高 - 临时关闭代理：
export GOPROXY=direct（Linux/macOS）或set GOPROXY=direct（Windows CMD） - 安装时加
-insecure参数仅限测试：比如go get -insecure github.com/wechatpay-contrib/wechatpay-go，正式环境必须用 HTTPS + 官方源
微信支付 v3 必须手动加载 apiclient_cert.pem，不能 auto-refresh
wechatpay-go 的自动证书轮换只在调用 client.Prepay 等接口时触发，但回调验签发生在独立 HTTP handler 中——此时若平台证书已过期，verifiers.NewWechatPayVerifier 会 panic，而不是返回错误。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 从微信商户平台「API 安全」页下载的
apiclient_cert.pem必须存为文件，不能嵌入代码或 base64 - 初始化 verifier 时传入完整路径：
verifiers.NewWechatPayVerifier(nil, "path/to/apiclient_cert.pem") - 不要用
crypto/tls.LoadX509KeyPair加载该证书——它含公钥和证书链，需用crypto/x509.ParseCertificate解析 - 沙箱环境用
https://api.mch.weixin.qq.com/sandbox/v3/，但证书仍要从正式环境下载，沙箱不提供独立证书
Stripe Webhook 调试必须用 stripe-cli，别信 localhost:8080
Stripe 的 webhook 签名含 stripe-signature 头和时间戳防重放机制，本地用 http.ListenAndServe 接收时，若没做 body 原样读取（未被中间件 consume），stripe.ParseWebhookEvent 会返回 invalid payload。
- 装 stripe-cli：
curl https://get.stripe.com/cli | sh，登录后运行stripe listen --forward-to localhost:8080/webhook/stripe - handler 中第一行必须是：
body, err := io.ReadAll(r.Body)，之后才能传给stripe.ParseWebhookEvent - 别在 handler 里调
r.ParseForm()或json.Decode—— 这会提前 consume body - 测试用的 signing secret 是
whsec_...开头，不是sk_test_...；生产环境换 key 后，secret 也得同步换，否则验签直接 400
支付宝异步通知必须用 client.VerifyNotification，别自己 rsa.VerifyPKCS1v15
支付宝通知参数顺序不固定、含空值字段、且签名原文要求对所有参数按 key 字典序排序后拼接，手写验签极易漏掉 sign_type 或把 notify_time 当成时间戳参与排序。
- 用
alipay-sdk-go v1.0.0+，初始化 client 后显式调client.SetNotifyUrl("https://yourdomain.com/ali/notify") - 回调入口函数里，直接传
r.PostForm：result, err := client.VerifyNotification(r.PostForm) - 沙箱域名是
https://openapi.alipaydev.com，但验签逻辑和正式环境一致；生产环境必须用https://openapi.alipay.com，且系统需信任支付宝 CA 根证书 - 返回响应必须是纯文本
"success"（无空格、无换行、无 HTML），否则支付宝认为通知失败，持续重发
最常被跳过的动作：微信回调里没校验 wechatpay-timestamp 时间差是否 ≤ 300 秒，Stripe webhook 没验证 event ID 是否已处理过，支付宝通知没查本地订单状态就直接发货——这些都不是 SDK 能兜住的，得你亲手加。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
