c.SetCookie设不上Cookie的主因是响应头被拦截或调用时机错误：必须在任何body写入（如c.String、c.JSON）前调用，且本地HTTP环境不可设secure:true；SameSite值大小写敏感，前端fetch需配credentials:"include"，Path和Domain须与请求URL严格匹配。
Session 和 Cookie 在 Gin 中不是内置功能，必须靠第三方库或手动实现；直接用 c.SetCookie 只能管 Cookie，不能自动管理服务端 Session 状态。
为什么 c.SetCookie 设不上 Cookie？
浏览器收不到 Cookie，大概率不是代码写错，而是响应头被拦截或时机不对：
- 必须在任何
w.Write、c.String()、c.JSON()之前调用c.SetCookie——一旦 body 开始写入，header 就锁死了 - 本地开发用
http://localhost:8080时设secure: true，浏览器会直接丢弃该 Cookie -
SameSite值必须是"Strict"、"Lax"或"None"（注意大小写），写成"lax"或"sameSite"整个 Cookie 就失效 - 前端 fetch 必须带
credentials: "include"，Axios 要设withCredentials: true，否则跨域请求不发 Cookie - 后端设 Cookie 的
Path和Domain必须与请求 URL 匹配，比如设了Path: "/api"，但请求是/api/v1/user—— 这没问题；但若设成"/api/"（结尾带斜杠），就可能不匹配
用 gorilla/sessions 实现真正可用的 Session
别自己手写 Session 存储——并发写入、过期清理、密钥轮换都容易出错。社区事实标准是 github.com/gorilla/sessions，但它只管 Session ID 的安全传输，数据存哪由你决定：
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 开发阶段可用
cookieStore，但密钥必须 ≥32 字节：cookiestore.NewCookieStore([]byte("your-32-byte-secret"))，硬编码密钥是危险操作 - 生产环境必须换成
redisstore或postgresstore，否则进程重启 Session 全丢 - 每次修改
session.Values后，必须显式调用session.Save(r, w)，漏掉这步前端收不到新 Cookie -
session.Save不会自动轮换 ID，登录成功后要手动删旧 Session 并设新 Cookie，否则存在 Session 固定风险 - Redis 里 Session 默认永不过期，
MaxAge只控制 Cookie 过期；得靠 Redis 的EXPIRE或定期清理任务配合
Gin 中删除 Cookie 的正确姿势
服务器不能“删除” Cookie，只能覆盖它为一个已过期的同名条目：
立即学习“go语言免费学习笔记（深入）”；
- 用
c.SetCookie(name, "", -1, path, domain, secure, httpOnly)是最可靠方式，MaxAge: -1触发浏览器立即清除 -
path和domain必须和当初设置时完全一致，否则旧 Cookie 仍残留 - 如果原 Cookie 设了
Secure: true，删除时也得传true，否则浏览器认为是不同 Cookie - 不要依赖
Expires: time.Unix(0,0)，Go 的http.SetCookie内部优先用MaxAge，Expires容易因客户端时间偏差失效
真正麻烦的从来不是“怎么设”，而是“设对没”——HttpOnly 漏了 XSS 就可能窃号，Secure 在 HTTP 下开着等于白设，SameSite 大小写错一个字母整个 Cookie 就静默失效。这些细节不在文档首页，但在上线前半小时往往就是故障根因。
