必须显式替换 gorilla/sessions 的默认 CookieStore 为 redistore 等 Redis 支持的 Store，否则 session 仍存于内存导致重启丢失；需统一密钥、正确设置 Cookie Domain（如 .example.com）、显式配置正数 MaxAge 对齐 Redis TTL，并避免并发读写同一 session 实例。
为什么直接用 gorilla/sessions + Redis 会丢失 session 数据
默认的 gorilla/sessions 使用内存存储，换到 Redis 后若没替换底层 store，session 仍写在进程内存里，重启服务就清空。关键不是“连上 Redis”，而是必须用支持 Redis 的 Store 实现——比如 github.com/gomodule/redigo/redis 配合自定义 RedisStore，或更稳妥地用 github.com/boj/redistore（虽已归档但稳定可用）。
常见错误现象：SetCookie 正常发了，Request.Session().Values 却总是空；或者不同实例间 session ID 相同但数据不一致。
- 必须显式创建
redistore.NewRediStore，不能只改连接配置 - session key 的加密密钥（
keyPairs）必须所有服务实例统一，否则解密失败→值为空 - Redis 连接池需设置合理
MaxIdle/MaxActive，高并发下连接耗尽会导致 session 写入超时静默失败
如何让 session cookie 在多子域名间共享
比如用户从 app.example.com 登录，跳转到 api.example.com 时要能读取同一 session。这和 Redis 无关，纯 HTTP Cookie 行为，但常被误认为是后端配置问题。
gorilla/sessions 的 Options 中必须设 Domain 为 .example.com（注意开头的点），且 Path 通常设为 /，HttpOnly 和 Secure 按生产环境要求开启。
审查 Remix v2 代码中的 v1 形态 meta 导出（v2 中为破坏性变更），cookie 安全漏洞（httpOnly、secure、密钥轮换），认证门位于错误层级，以及其他
-
Domain值必须带前导点（.example.com），写成example.com或www.example.com都不行 - 如果前端通过 AJAX 跨域请求，还需确保
credentials: true且后端响应头含Access-Control-Allow-Credentials: true - 开发环境用
localhost无法设二级域名 cookie，建议改用127.0.0.1.xip.io类域名调试
redistore 的过期时间怎么和 Redis TTL 对齐
redistore 默认把 session value 存成 Redis string，TTL 由 MaxAge 参数控制，但它的行为和直觉有偏差：如果 MaxAge ，session 永不过期（Redis key 无 TTL）；如果 <code>MaxAge == 0，使用浏览器 session cookie（关闭标签即失效），但 Redis 侧仍设 TTL 为 0 → key 永久存在，造成泄漏。
正确做法是始终显式设正数 MaxAge（单位秒），并确保 Redis store 初始化时传入的 DefaultMaxAge 与业务逻辑一致。
- 调用
session.Options时设MaxAge: 3600，等效于 Redis 的EXPIRE key 3600 - 不要依赖
session.Save()自动续期——它只刷新 cookie 过期时间，Redis TTL 不变；需手动调用store.RenewSession或在每次读写后重设 TTL - 若用 Redis Cluster，
redistore的Save方法可能因 key slot 分布问题失败，建议降级用单节点 Redis 或换go-redis/redis自研 store
并发读写 session 时为何出现 interface conversion: interface {} is nil, not []uint8
这个 panic 通常发生在从 Redis 读出空值后，redistore 尝试反序列化 nil 数据。根本原因是：session key 在 Redis 中已被删除（超时或手动 del），但客户端 cookie 仍携带旧 sid，导致 store 尝试 decode nil。
标准库 encoding/gob 解码 nil slice 会 panic，而 redistore 默认用 gob。解决方式不是捕获 panic，而是提前拦截空数据。
- 在中间件中检查
req.Cookie("session_id")是否存在且非空，再调用store.Get - 替换默认编解码器：用
json替代gob（redistore支持传入Encoder/Decoder），json 对null更宽容 - 更彻底的方案：改用
github.com/go-session/session，它对空 session 返回新实例而非 panic
