应使用 gorilla/mux 替代 http.ServeMux 实现 Webhook 转发，因其支持路径参数、方法区分、子路由隔离及中间件机制，可分别处理 GitHub、Slack 等平台的签名验证、时间戳校验和 body 读取顺序等差异化需求。
为什么不用 http.ServeMux 做 Webhook 转发
它连路径参数都解析不了，/webhook/github 和 /webhook/slack 只能靠 switch r.URL.Path 硬判断，一加新平台就改逻辑，还容易漏掉 Content-Type 或签名头。更麻烦的是，不同平台对 body 格式要求差异大：GitHub 发 JSON 但带 X-Hub-Signature-256，Slack 要验证 X-Slack-Signature，Discord 则只认 application/json 且拒绝空 body —— 这些没法靠前缀匹配兜住。
-
http.ServeMux不支持按 method 区分同路径请求（比如POST /webhook和GET /webhook/health会冲突） - 没有中间件机制，验签、解密、重放防护等逻辑只能塞进每个 handler，重复写三遍就崩溃
- 无法统一处理 body 读取：GitHub 需要原始字节验签，但 Slack 又要 JSON 解析，顺序错了就失败
用 gorilla/mux 注册带平台标识的路由
把平台名作为路径段，让路由层直接分离流量，避免 if-else 堆砌。关键是用 Subrouter() 隔离各平台逻辑，后续加 Discord 或飞书只需新增子路由，不碰主干。
router := mux.NewRouter()
github := router.PathPrefix("/webhook/github").Subrouter()
github.Methods("POST").HandlerFunc(handleGitHub)
slack := router.PathPrefix("/webhook/slack").Subrouter()
slack.Methods("POST").HandlerFunc(handleSlack)
slack.Methods("GET").Path("/health").HandlerFunc(slackHealth)
- 每个子路由可独立挂中间件，比如 GitHub 子路由加
verifyGitHubSignature，Slack 子路由加verifySlackSignature -
PathPrefix比Path更安全：防止/webhook/githubx被误匹配 - 别在 handler 里重复调用
r.Body—— 用io.ReadAll一次读完，存到r.Context()里供验签和解析共用
转发时必须重写 Host 和 Content-Length
直接用 httputil.NewSingleHostReverseProxy 转发，目标服务常返回 400 或 502。根本原因是原始请求的 Host 头没换，且 Content-Length 是旧值（body 被读过一遍后长度可能变），而多数 webhook 接收端（如内部服务或云函数）会严格校验这两项。
- 必须用
Director函数显式改写：req.Host = "your-target-service.com"、req.URL.Host = "your-target-service.com" - 转发前手动设
req.ContentLength，否则 Go 默认设为 -1，某些后端会拒收 - 删掉原始
Connection、Keep-Alive头，避免代理链路复用干扰 - 如果目标是 HTTPS，确保
Transport启用了InsecureSkipVerify: true（仅测试环境）或正确配置了 CA
签名验证失败？先检查 body 读取顺序
90% 的签名失败不是算法错，而是 body 被提前消费了。GitHub 要求用原始字节算 HMAC，但如果你在 handler 开头就做 json.NewDecoder(r.Body).Decode(...)，再拿 r.Body 去验签，拿到的就是空流。
立即学习“go语言免费学习笔记（深入）”；
- 务必在验签前用
body, _ := io.ReadAll(r.Body)一次性读完，然后用bytes.NewReader(body)重建r.Body - 验签通过后再用
json.Unmarshal(body, &payload)解析，别用Decoder直接读 - Slack 的
X-Slack-Request-Timestamp要校验 5 分钟内，过期直接http.Error(w, "", 401)，别转发
多平台转发真正的复杂点不在路由或转发，而在每个平台对“合法请求”的定义完全不同——签名方式、时间戳容忍度、body 是否允许 gzip、甚至 header 大小写敏感性都不一致。宁可为每个平台写独立 handler，也别强行抽象成一个通用函数。
