必须替换为 Redis 实现，否则 session 仍存内存导致重启丢失、多节点隔离及 Values 为空；需用 NewRedisStore 初始化并传入已 Ping 验证的 *redis.Client，结构体字段须加小写下划线 json tag，key 设计需支持精准清理，Session 实例禁止跨 goroutine 复用。
gorilla/sessions 的 Store 必须替换为 Redis 实现
不换 gorilla/sessions 默认的内存 CookieStore 或 FilesystemStore，session 就永远存不到 Redis 里——它还在进程内存里，重启丢、多节点隔离、session.Values 始终为空。必须显式调用 sessions.NewRedisStore（或自定义 redis.Store）并传入正确配置的 *redis.Client。
常见错误是只改了读写逻辑，却没替换 session.NewCookieStore() 这一行。哪怕你后面用 client.Set 手动往 Redis 写，session.Save(r, w) 仍走内存路径，完全不生效。
- 确认初始化代码中使用的是
sessions.NewRedisStore，不是sessions.NewCookieStore - 传入的
*redis.Client必须已通过client.Ping(ctx)验证连通性 - 若用
github.com/go-redis/redis/v8，需封装适配器；gorilla/sessions原生只支持 v7 及更早版本
struct 字段必须加 json tag，否则反序列化静默失败
session.Values 存的是 map[interface{}]interface{}，但实际序列化进 Redis 时会转成 JSON。如果结构体字段没加 json: tag，或大小写/下划线不匹配（比如字段名 UserID 期望存成 "user_id" 却没声明 `json:"user_id"`），json.Marshal 会跳过该字段，导致 Redis 中 value 是空对象 {} 或字段全零值。
别依赖“首字母大写自动导出”——userid（小写开头）字段根本不会被序列化；也别指望 JSON 库自动做驼峰转下划线。
立即学习“go语言免费学习笔记（深入）”；
- 所有要存进 session 的 struct 字段，必须显式加
jsontag，统一用小写下划线风格：UserID string `json:"user_id"` - 存之前先
json.Marshal(session.Values)并打印日志，确认输出是{"user_id":"u123"}而非{} - 读取时用
json.Unmarshal([]byte(result.Val()), &s)，别用result.Scan(&s)——后者走 Redis 二进制协议，不解析 JSON
session ID 和 Redis key 设计必须支持精准清理
用 "session:" + userID 当 key 是线上危险操作：用户登出、换设备、改密码时无法精准删除旧会话；KEYS session:user123* 是 O(N) 全库扫描，Redis 会被拖垮。
Session ID 必须由服务端生成 UUID，key 格式建议 "sess:" + sessionID；同时登录成功后，额外维护一个 hash 记录用户与会话的映射关系。
- 生成 session ID：用
uuid.NewString()，不要用客户端传入或用户 ID 拼接 - 写 session 数据时：执行
client.Set(ctx, "sess:"+sessionID, val, 30*time.Minute)，必须带 TTL - 写关联记录时：执行
client.HSet(ctx, "user_sessions:u123", "sess:abc123", time.Now().Add(30*time.Minute).Format(time.RFC3339)) - 登出时：先
client.HKeys(ctx, "user_sessions:u123")获取所有会话 ID，再批量client.Del(ctx, "sess:abc123", "sess:def456")，最后client.Del(ctx, "user_sessions:u123")
并发写覆盖问题必须靠业务层规避
*sessions.Session 的 Values 是普通 map[interface{}]interface{}，非线程安全。两个 handler 同时调 session.Save(r, w)，后写入的会直接覆盖前一次 Redis 写入，造成状态撕裂（比如 WebSocket 连接还在用旧 session）。
Session 实例不能跨 goroutine 复用，尤其禁止在中间件里全局缓存一个 *sessions.Session。
- 每个 HTTP 请求都应通过
store.Get(r, "session-name")获取新实例，不要复用 - 避免在异步 goroutine（如日志、通知）中直接操作 session 实例
- 对同一用户的高频并发写（如连点登录），应在业务层加分布式锁（如
redis.SetNX），或用乐观更新（version 字段 + Lua 脚本校验）
