支付宝sdk报“invalid private key”因私钥格式错误，需用openssl转pkcs#1为pkcs#8；微信v3签名失败多因header、时间戳等不一致；回调验签需保留原始参数顺序；生产环境需严格匹配商户号、证书等配置。
支付宝 SDK 初始化时 client.Init() 报错 “invalid private key”
常见原因是 PKCS#8 格式私钥被当成 PKCS#1 使用。支付宝 Go SDK（如 alipay-go）只接受 PEM 编码的 PKCS#8 私钥，而开发者常从 OpenSSL 或支付宝后台直接复制的“—–BEGIN RSA PRIVATE KEY—–”是 PKCS#1，会触发该错误。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用 OpenSSL 转换：
openssl pkcs8 -topk8 -inform PEM -in app_private_key.pem -out app_private_key_pkcs8.pem -nocrypt - 确认输出文件开头是
-----BEGIN PRIVATE KEY-----（无 “RSA” 字样），而非-----BEGIN RSA PRIVATE KEY----- - 初始化时传入的是应用私钥（
app_private_key_pkcs8.pem），不是支付宝公钥，也不是网关地址或 PID
微信支付 v3 API 签名失败返回 401 Unauthorized，err: invalid signature
v3 接口强制要求 HTTP Header 中带 Authorization，且签名依赖精确的请求方法、路径、时间戳、随机串、请求体哈希——任意一项不一致就失败，不是密钥填错那么简单。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 确保使用微信官方
wechatpay-goSDK（v2.0+），它自动处理签名头和证书验证；手写签名极易出错 - 调用前检查：
client.CertPath指向平台证书（apiclient_cert.pem），不是商户证书；client.MchID是纯数字字符串，不能带空格或前导零 - 调试时打印原始待签名字符串（SDK 通常提供
GetSignMessage()类方法），比对微信文档示例的拼接逻辑是否一致
并发调用支付回调验签时，alipay.VerifySign() 偶发 panic 或返回 false
支付宝回调参数是 URL query 形式，但 Go 的 net/url.Values 默认会对键值做排序并去重；而验签必须按支付宝原样顺序拼接参数，且保留所有重复 key（比如多次 sign_type=RSA2）。SDK 若直接用 r.URL.Query() 解析，会破坏原始顺序。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 不要用
r.URL.Query()，改用r.URL.RawQuery获取原始字符串，再用alipay.ParseNotifyData()（或等效函数）解析并保留顺序 - 验签前先过滤掉
sign和sign_type字段，但注意：支付宝可能传多个sign_type，只剔除第一个，其余要参与排序 - 验签函数内部会做字段排序，但前提是输入是 map[string][]string 结构且 key 顺序与原始请求一致 —— 这点多数 SDK 不保证，务必查清你用的封装是否重写了该逻辑
沙箱环境能通，生产环境调用 unifiedorder 返回 INVALID_REQUEST 或 SYSTEMERROR
微信生产环境校验更严：商户号、APIv3 密钥、证书、AppID、回调域名全部需严格匹配，且证书必须由微信平台下载（不能复用沙箱证书），哪怕一个字符差异都会静默失败。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 确认
client.MchID和client.AppID是生产环境值，且client.AppID是公众号/小程序的 AppID，不是商户号 - APIv3 密钥必须在微信商户平台「API 安全」页重置并手动粘贴进代码；旧密钥即使没过期也会被拒绝
- 证书链必须完整：
apiclient_cert.pem（含私钥）、apiclient_key.pem（私钥）、apiclient_root.pem（根证书），三者缺一不可，路径不能有中文或空格
最麻烦的其实是微信的“静默失败”策略：很多配置错误不返回明确提示，只丢 SYSTEMERROR。建议上线前用 curl 手动构造一次最简 unifiedorder 请求，绕过 SDK 直接看原始响应 body 里的 message 字段 —— 那里往往藏着真实原因。
