beego中需在controller中手动读取并重置原始请求体用于hmac验签：封装getrawbody()方法，避免prepare()提前解析、禁用copyrequestbody依赖，签名头用c.getstring("x-signature")获取，原文按method+path+timestamp+nonce+body拼接，且验签必须在任何参数解析前完成。
Beego 中如何在 Controller 里获取原始请求体用于 HMAC 签名验证
Beego 默认会自动解析 application/json 或 application/x-www-form-urlencoded 请求体，并清空原始 body，导致你调用 r.Body 时读不到内容，签名验证直接失败。
必须在解析前手动读取并重置 Body：
func (c *BaseController) GetRawBody() ([]byte, error) {
if c.rawBody == nil {
body, err := io.ReadAll(c.Ctx.Request.Body)
if err != nil {
return nil, err
}
c.Ctx.Request.Body = io.NopCloser(bytes.NewBuffer(body))
c.rawBody = body
}
return c.rawBody, nil
}
- 把这段逻辑封装进自定义
BaseController，避免每个接口重复写 - 不要在
Prepare()里提前调用c.ParseForm()或c.ParseJSON()，否则 Body 已被消费 - 若使用
beego.BConfig.CopyRequestBody = true，Beego 会自动缓存一次 Body，但仅对部分 Content-Type 生效，不可靠，仍建议手动控制
HMAC-SHA256 签名头格式与 Beego 解析方式
常见签名头如 X-Signature、X-Timestamp、X-Nonce，Beego 用 c.GetString() 取值即可，但要注意大小写和 header 映射规则：
- HTTP header 名会被 Go 标准库转为首字母大写、其余小写（如
x-signature→X-Signature），所以c.GetString("X-Signature")才能取到 - 时间戳建议用
c.GetString("X-Timestamp")获取后转为int64，再校验是否超时（如 ±300 秒） - 签名原文拼接顺序必须和服务端文档严格一致：通常是
method + \n + path + \n + timestamp + \n + nonce + \n + body，注意换行符是\n不是\r\n
Beego 里 HMAC 验证失败的三个高频原因
签名无效不是算法写错，大概率是输入不一致。重点排查以下几点：
-
r.URL.Path和实际路由路径不一致：Beego 路由可能带前缀（如/api/v1/xxx），而签名时用的是去前缀路径，需统一用c.Ctx.Input.URI()或按约定截取 - body 内容含空格或换行被格式化：前端 JSON 序列化时用了
JSON.stringify(obj, null, 2)，导致 body 多出缩进，签名原文不匹配；后端应以原始字节为准，不做任何 trim 或格式化 - 密钥未正确加载：从配置读取密钥时，
beego.AppConfig.String("auth::secret_key")返回空字符串却没报错，建议加 panic 或日志断言：if len(secret) == 0 { log.Fatal("missing auth.secret_key") }
如何安全地在 Beego 中复用签名中间件
别把签名验证逻辑散落在每个 Post() 方法里。推荐用 beego.InsertFilter() 注册全局或路径级 filter：
beego.InsertFilter("/api/*", beego.BeeApp.Handlers[0], auth.SignVerifyFilter, &beego.FilterParam{ReturnOnOutput: true})
- filter 函数内调用
c.GetRawBody()、提取 headers、计算 HMAC、对比，失败时直接c.Abort("401") - 务必设置
ReturnOnOutput: true，否则即使Abort()了，后续 Controller 的Post()仍会执行 - 敏感接口（如支付回调）建议额外校验
Content-Type是否为application/json，防止伪造表单提交绕过
最易被忽略的一点：HMAC 验证必须在所有参数解析之前完成，且原始 body 只能读一次。一旦你在 filter 里读了 body，Controller 就不能再调用 c.ParseJSON() —— 此时得自己用 json.Unmarshal() 解析已缓存的 rawBody 字节。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
