c.SetCookie() 是 Gin 写 Cookie 的推荐方法，需正确设置 name、value（URL 编码）、MaxAge、Path、Domain、HttpOnly、Secure 和 SameSite 参数；c.Cookie() 读取时须检查 err；SameSite 作为参数传入 SetCookie 而非独立函数；存 JSON 需手动序列化且注意安全与兼容性。
怎么用 c.SetCookie() 写入 Cookie
写 Cookie 最常用也最可控的方式就是直接调用 Gin 的 c.SetCookie() 方法，它底层封装了 http.SetCookie()，但参数顺序和默认值更符合 Web 开发直觉。
常见错误是漏设 MaxAge 或误填 Expires，导致 Cookie 立即过期或变成会话级（浏览器关掉就丢）；另一个坑是没注意域名和路径匹配规则，跨子域或前端路由嵌套时读不到。
-
name和value必须 URL 编码（Gin 不自动做），中文或特殊字符要用url.QueryEscape()处理 -
MaxAge设为正数表示秒级有效期（推荐），设为 0 表示会话 Cookie，负数会立即删除 -
Path默认是"/"，如果后端 API 路径是/api/v1/但前端在/dashboard/下访问，记得显式设Path: "/" -
Domain若需跨子域（如app.example.com和api.example.com），要设为".example.com"（开头带点），且不能用于 localhost - 敏感 Cookie 建议加上
HttpOnly: true（JS 无法读取）、Secure: true（仅 HTTPS）
示例：
c.SetCookie("session_id", "abc123", 3600, "/", ".example.com", true, true)
怎么用 c.Cookie() 读取 Cookie
c.Cookie() 是 Gin 封装的读取方法，内部调用 http.Request.Cookie()，但它只返回第一个同名 Cookie，不处理重复键或手动解析 Cookie header 的细节。
立即学习“go语言免费学习笔记（深入）”；
容易踩的坑：没处理 http.ErrNoCookie 错误就直接用返回值，导致 panic；或者把未设置 HttpOnly 的 Cookie 当作“安全可读”来依赖，结果前端 JS 改了值，后端还信以为真。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 必须用
if cookie, err := c.Cookie("token"); err == nil判断，不能忽略err - 若 Cookie 值含空格、分号等，
c.Cookie()会自动解码，但原始 header 中的编码格式（如%20）必须合法，否则报http.ErrNoCookie - 读取不到时，先确认请求 header 确实带了
Cookie字段（用 curl 或浏览器 Network 面板看），再检查域名、路径、Secure 标志是否匹配
示例：
if token, err := c.Cookie("token"); err == nil {<br> fmt.Println("got token:", token)<br>} else {<br> fmt.Println("no token cookie")<br>}
为什么 c.SetSameSite() 不是独立函数
Gin 没有单独的 c.SetSameSite() 方法，SameSite 是作为 c.SetCookie() 的一个参数传入的，类型是 http.SameSite 枚举值。很多人搜 “gin samesite” 却找不到对应函数，就是因为这个设计。
不设或设错 SameSite 会导致现代浏览器（Chrome 80+）静默丢弃 Cookie，尤其在跨站 POST 或 iframe 场景下——比如前端从 https://admin.site.com 提交表单到 https://api.site.com，若 Cookie 的 SameSite 是 Lax（默认），就可能失败。
- 推荐显式指定：
SameSite: http.SameSiteLaxMode（兼顾安全与兼容）或http.SameSiteStrictMode（更严） - 调试时可在响应 header 中检查
Set-Cookie字段是否含SameSite=Lax，没有就是没传参 - 开发阶段若需临时禁用 SameSite（仅限 localhost 测试），可设为
http.SameSiteDisabled，但上线前必须改回
Cookie 值里存 JSON 安全吗
可以存，但 Gin 不自动序列化/反序列化，你得自己用 json.Marshal() 和 json.Unmarshal() 处理，而且要注意长度限制（大多数浏览器上限 4KB）和编码问题。
更大的风险是：Cookie 是明文传输的（即使走 HTTPS，服务端日志、代理缓存也可能意外记录），存结构化数据容易暴露字段含义；另外，如果值含用户可控内容（比如用户名），没做 HTML/JS 转义就直接塞进 JSON，可能引发 XSS（虽然 HttpOnly 能缓解，但非绝对）。
- 存之前用
json.Marshal()，读出来用json.Unmarshal()，别手写字符串拼接 - 避免存敏感字段（如密码哈希、权限列表），优先用服务端 session + 短 Token
- 如果必须存对象，建议加一层简单混淆（比如 base64 + 时间戳 XOR），不为加密只为防一眼看穿
- 上线前用
len(value) 做截断保护，避免超长被浏览器截断或拒绝
真正难的不是怎么写进去，而是怎么确保每次读出来的结构和版本对得上——比如今天存 {"id":1,"role":"user"}，明天加了个 "org_id" 字段，旧 Cookie 解析就会失败。这种演进逻辑得自己兜底。
