Iris的Session管理器需手动初始化sessions.Sessions实例并配置Cookie名、Expires、Database、Prefix等参数，配合sess.Start(ctx)启用，存取数据须用类型匹配的Set/Get方法，分布式环境必须显式配置Redis连接及key前缀。
直接用 sessions.New 创建管理器，配合 Session.Set/Session.Get 操作数据，分布式场景必须接 Redis 并显式配置 Database 和 Prefix —— 否则本地跑通、上线就丢 session。
怎么初始化一个可用的 Session 管理器
Iris 的 session 不是开箱即用的中间件，得手动 new 一个 sessions.Sessions 实例，并挂到请求生命周期里。常见错误是只调 sessions.New 却没在 handler 中调 sess.Start(ctx)，结果每次都是新 session。
-
sessions.Config.Cookie必须设成自定义名（如"mysessionid"），别用默认值，避免和别的服务冲突 -
Expires建议显式设为24 * time.Hour，0 值表示“浏览器关闭即失效”，生产环境基本不用 -
AllowReclaim默认是nil，如果用户换设备或清 cookie 后还想续上旧 session，得设为true，但会略微增加安全风险 - 不要漏掉
CookieSecureTLS: true（仅 HTTPS 环境）和HttpOnly: true，防 XSS 窃取 session ID
Session 数据怎么存取才不踩类型坑
Iris 的 Session 对象提供了一组类型明确的 getter/setter，不是所有值都能用 Set 直存，也不是所有 Get 都能自动转型 —— 比如存了 int64，用 GetInt() 会 panic，必须用 GetInt64()。
- 字符串：用
session.SetString("name", "alice")+session.GetString("name") - 整数：优先用
GetInt64()/SetInt64()，GetInt()只兼容int（32 位系统可能截断） - 布尔值：
SetBoolean存，GetBoolean取，别用Set("flag", true)+Get("flag").(bool)，后者易 panic - 结构体或 map：必须先
json.Marshal成字节再SetBytes，读时GetBytes后json.Unmarshal，Set不支持直接序列化复杂类型
为什么上了 Redis 还是经常丢失 session
现象是本地开发一切正常，一上 Kubernetes 或多实例负载均衡，用户频繁登出或状态错乱。根本原因不是 Redis 连不上，而是 key 冲突或连接参数没对齐。
- 必须显式指定
Database字段（如Database: 1），很多 Redis 托管服务默认禁用SELECT命令，不设这个字段会连到 db 0，和其他服务混用 -
Prefix不能省，比如设成"myapp:sess:"，否则多个 Iris 服务共用一个 Redis 时，DestroyAll()会误删别人的数据 -
Timeout要用redis.Config{Timeout: 3 * time.Second}，不是裸写3 * time.Second，GoRedis 驱动会忽略后者 - 检查 Redis 密码是否含特殊字符（如
@、/），URL 形式传地址时要url.PathEscape，否则解析失败静默降级为无密码连接
怎么安全地销毁 session 登出用户
Session.Destroy() 只清服务器端数据，但客户端 cookie 还在，下次请求仍会带旧 ID 上来，可能被重放或误续。真正登出要两步走。
- 调
session.Destroy()清除服务端数据 - 手动设置 cookie 过期：
ctx.SetCookieKV(sess.Config.Cookie, "", "Max-Age=0; HttpOnly; Path=/")，强制浏览器删掉 cookie - 如果用了
AllowReclaim: true，登出后还应调sess.DestroyByID(session.ID())，防止 ID 被回收复用 - 别依赖
context.Values或全局变量存 session 状态，Iris 的Session对象本身是 request-scoped，跨 goroutine 传递需小心生命周期
最常被忽略的是 Prefix 和 Database —— 它们不出现在任何 error message 里，但只要设错，Redis 就像没接入一样，session 全存在内存里，重启服务全丢。上线前务必用 redis-cli -n 1 keys "myapp:sess:*" 真实查一次 key 是否落库。
