Cookie是客户端存储的凭证（如SessionID），Session是服务端维护的状态；Gin中SetCookie/Cookie仅操作Cookie，真正Session需gin-contrib/sessions中间件支持。
直接说结论：Cookie 是客户端存储的凭证（比如 SessionID），Session 是服务端维护的状态；在 Gin 中，SetCookie 和 Cookie 仅操作 Cookie，而 Session 必须依赖 gin-contrib/sessions 中间件 —— 不引入它，就根本没有真正的 Session。
怎么用 SetCookie 设置和删除 Cookie
设置 Cookie 的核心是调用 c.SetCookie()，7 个参数顺序固定、不可省略（哪怕传空字符串或 false）：
-
maxAge是关键：设为-1表示立即删除（浏览器收到后清掉该 Cookie）；设为0则忽略Max-Age字段，退化为会话级 Cookie（关闭浏览器即失效）；正数才是秒级有效期 - 本地开发时
domain填"localhost"或"127.0.0.1"，但两者不互通 —— 用localhost设的 Cookie，127.0.0.1发起的请求不会携带 -
secure设为true时，HTTP 协议下浏览器直接忽略该 Cookie；生产环境必须配 HTTPS，否则登录态永远无法建立 -
httpOnly强烈建议设为true，否则前端 JS 可读写（如document.cookie），极易被 XSS 窃取
删除示例：c.SetCookie("session_id", "", -1, "/", "localhost", false, true) —— 值可以为空，但 name、path、domain 必须和设置时一致，否则删不掉。
为什么不能只靠 Cookie 实现登录态管理
因为 c.Cookie("session_id") 只是读出一个字符串，它本身不包含用户身份、权限、过期校验等任何逻辑。你拿到 ID 后，还得自己查数据库或缓存确认是否有效、是否过期、是否被登出。
立即学习“go语言免费学习笔记（深入）”；
- 手动实现容易漏掉时间校验（比如只比对 ID 存在，不检查
created_at是否超时） - 并发登出场景下，若只删客户端 Cookie，服务端 Session 仍存在，攻击者截获旧 ID 仍可重放请求
- 没有自动清理机制：内存 Session 不会自动过期回收，Redis Session 需依赖 TTL，但你自己得确保每次读写都刷新 TTL
换句话说：只用 Cookie 就像把钥匙交给别人保管，但锁芯（验证逻辑）得你自己造 —— 容易造错、难维护、不安全。
用 gin-contrib/sessions 正确启用 Session
Session 不是 Gin 内置功能，必须显式引入中间件。最常用的是基于 Cookie 加密的轻量方案，或基于 Redis 的分布式方案：
- Cookie Store（适合单机、无敏感数据）：
store := cookie.NewStore([]byte("your-32-byte-secret-key"))—— 密钥长度必须 ≥32 字节，否则 panic - Redis Store（推荐生产环境）：
store := redis.NewStore(16, "tcp", "localhost:6379", "", []byte("secret"))，注意第四个参数是 password，空密码传空字符串，不是nil - 中间件注册顺序很重要：必须在路由注册前调用
router.Use(sessions.Sessions("mysession", store))，否则后续 handler 拿不到sessions.Default(c) - Session 值写入后不会自动持久化到后端，必须显式调用
session.Save()，否则重启进程或 Redis 断连会导致数据丢失
典型用法：session := sessions.Default(c); session.Set("user_id", 123); session.Save() —— 这会自动生成加密的 Cookie 并下发，同时在服务端（内存或 Redis）存对应状态。
Session 过期和失效的实际表现
Session 过期不是“一到时间就消失”，而是分两层：
- 客户端 Cookie 的
Max-Age到期后，浏览器不再发送该 Cookie；但旧 Cookie 文件可能还躺在本地磁盘里，只是不随请求发出 - 服务端 Session（如 Redis）靠 TTL 自动清理，但 TTL 是“最后访问时间”起算；如果用户长期不操作，Session 会被后台自动剔除
- 最危险的情况：用户登出时只删了客户端 Cookie，没调用
session.Delete()或 RedisDEL，那 Session 在服务端还活着，别人拿到旧 Cookie 值就能冒用
所以登出逻辑必须两端同步：客户端删 Cookie + 服务端销毁 Session 数据 —— 少一步，就等于留了一把没拔的钥匙。
