不能直接用 http.Cookie 存 session ID，因其默认不设 HttpOnly、Secure 和 SameSite，易遭 XSS 窃取或 CSRF 利用；必须手动设置 HttpOnly: true、Secure: true、SameSite 为 Strict 或 Lax。
为什么不能直接用 http.Cookie 存 session ID
因为默认的 http.SetCookie 不自动设置 HttpOnly、Secure 和 SameSite，容易被 XSS 窃取或 CSRF 利用。哪怕只漏一个 HttpOnly，JS 就能读到 session ID；如果没设 Secure，HTTP 页会明文传 cookie；SameSite= lax 是底线，strict 更安全但可能影响跨站跳转。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 始终手动构造
http.Cookie，显式设置HttpOnly: true、Secure: true（开发环境可条件关闭）、SameSite: http.SameSiteStrictMode或http.SameSiteLaxMode - session ID 必须由加密安全的随机数生成：
crypto/rand.Read+ base64 URLEncoding，长度不少于 32 字节 - 禁止把用户数据、角色、权限等直接 encode 到 cookie 值里——哪怕加了签名，也属于“客户端 session”，一旦密钥泄露或算法降级就全崩
用 Redis 存 session 数据时怎么避免 key 冲突和过期错乱
Redis key 设计不当会导致不同用户 session 覆盖，或过期时间被意外覆盖。常见错误是直接用 sessionID 当 key，却不加命名空间前缀；或者每次续期都用 SET key value EX seconds，导致并发请求反复重置 TTL，实际过期时间远超预期。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- key 格式统一为
"sess:" + sessionID，避免和其他业务 key 冲突 - 写入用
SET sess:abc123 "data" EX 3600 NX（NX确保只新建不覆盖） - 续期用
EXPIRE sess:abc123 3600，而不是重复SET ... EX—— 后者在高并发下可能把刚续的 TTL 又刷成原始值 - Redis 连接池必须设置
MaxIdleConns和MaxActiveConns，否则短连接风暴会拖垮 Redis
gorilla/sessions 的默认配置为什么不能直接上线
这个库默认使用内存存储（cookiestore），且密钥硬编码、无过期控制、不校验 SameSite。生产环境一跑就暴露 session 泄露风险。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 禁用
cookiestore，改用redisstore或自定义Store接口实现 - 密钥必须从环境变量加载，且长度 ≥ 32 字节；用
securecookie.GenerateRandomKey(32)初始化，别手写字符串 - 显式调用
session.Options{HttpOnly: true, Secure: true, SameSite: http.SameSiteStrictMode, MaxAge: 3600}，不要依赖默认值 - 每次
session.Save(r, w)后检查 error，尤其注意 Redis 不可用时是否静默失败
如何防止 session fixation 和 session hijacking
用户登录前后用同一个 session ID，攻击者就能提前获取并绑定恶意会话；而服务端不校验 User-Agent 或 IP 变化，会让被盗 session 更难察觉。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 登录成功后必须调用
session.ID()获取当前 ID，再用session.Destroy()+newSession := store.New(r, "session-name")强制换新 ID - 可选地，在 session data 里存
userAgentHash（SHA256(r.UserAgent())）和ipHash（仅前两段 IPv4 或 IPv6 /64 段），每次请求比对，差异大时清空 session - 敏感操作（如改密码、绑手机）前，强制二次验证（如短信/邮箱验证码），不依赖 session 本身可信
- 登出时除了
session.Clear()和session.Options.MaxAge = -1，还要同步删 Redis 中对应 key，防止客户端伪造旧 cookie 继续用
真正麻烦的不是实现 session 创建，而是所有边界：登录态迁移、异常设备识别、密钥轮换、Redis 故障降级策略。这些没法靠一个库自动搞定。
