Go语言支付集成必须使用官方SDK：微信需wechatpay-go（支持v3证书轮换与自动验签），支付宝需alipay-sdk-go v1.0.0+（严格区分RSA2签名与密钥类型），回调须独立路由、幂等处理、事务更新并投递消息队列。
Go 语言本身不提供支付能力，所有在线支付都必须对接第三方支付网关（如支付宝、微信支付、Stripe），Golang 的角色是作为后端服务，安全、可靠地完成签名、请求构造、回调验签、状态更新等关键逻辑。直接用 net/http 手写支付集成极易出错，尤其在签名算法、时间戳处理、证书加载、异步通知验签等环节。
微信支付 v3 接口必须用官方 wechatpay-go SDK
微信支付 v3 强制要求使用平台证书验签、APIv3 密钥加密、RFC3339 时间格式、自动重试与幂等控制。手写 HTTP 客户端几乎无法正确实现全部规范：
-
wechatpay-go自动管理平台证书轮换和WECHATPAY-Serial头传递 - 所有敏感请求（如统一下单、查询订单）自动添加
Authorization签名头，基于私钥 + 请求体 + 时间戳 + 随机数生成 - 回调通知解析时，自动校验
Wechatpay-Timestamp、Wechatpay-Nonce和Wechatpay-Signature - 不要用
github.com/go-pay/wechat这类非官方库——它不支持 v3 证书自动刷新，且验签逻辑有已知漏洞
支付宝支付需严格区分 alipay-sdk-go 版本
支付宝开放平台同时支持 RSA2（推荐）和 RSA 签名，但 SDK 行为差异极大：
- 新版
alipay-sdk-go v1.0.0+默认启用SignType = "RSA2"，且要求传入privateKey（应用私钥）和publicKey（支付宝公钥），不能混用旧版 PEM 格式路径 - 调用
client.Execute()前，必须显式设置client.SetNotifyUrl()，否则沙箱环境会返回"notify_url invalid" - 异步通知验签必须用
client.VerifyNotification()，而非自行解析 POST body 后调用rsa.VerifyPKCS1v15——因为支付宝通知参数顺序不固定，且含空值字段，官方 SDK 已做标准化排序与过滤 - 切勿在生产环境使用
https://openapi.alipaydev.com——沙箱域名不校验证书，而生产域名https://openapi.alipay.com要求系统信任支付宝 CA 根证书
支付回调必须独立路由 + 幂等 + 事务隔离
无论微信还是支付宝，回调通知都可能重复发送（网络超时重试），且无事务上下文。常见错误是直接在回调 handler 中更新数据库并发货：
