生产回调全部返回 verify fail，配置中心里 prod 的 app_secret 和 test 的值一模一样。日志里能对上时间点，这种反而好排。
发布时把测试环境的配置文件整体覆盖到生产，密钥没有按环境区分。渠道侧生产用的是另一套密钥，怎么算都对不上。这一点先确认清楚，后面就不用反复试。
python -c "import hashlib;print(hashlib.sha256(b'secret').hexdigest()[:8])" grep -n 'app_secret' conf/prod.yaml
「多环境密钥混用」确认了原因之后，改动尽量只碰那一处，顺手改的东西后面最容易出问题。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。
报错里带路径的，先去看那个路径在不在、权限对不对。同一份配置存在多处的，先确认改的是被加载的那一份。
处理上按这个顺序：配置中心按环境隔离命名空间 禁止跨环境复制；启动时只打印密钥指纹 不打明文；用生产密钥重算一条历史回调 确认能过；加启动校验 生产密钥等于测试值就拒绝启动。
结果对不对很好判断，生产启动日志里的指纹和渠道后台一致 回调返回 success。