Fiber 中 c.Cookies() 仅返回原始未解析 Cookie 值，需手动处理 URL 解码、多 path 匹配、签名验证及 JWT payload 解析，且不校验 Secure/HttpOnly/过期等属性。
c.Cookies() 就完事的——它默认只暴露原始字符串，不自动解析；你得自己处理 domain、path、secure、httpOnly 等属性是否匹配，还要注意 JWT 类型 Cookie 的 payload 解析是另一层逻辑。
直接读 Cookie 值：用 c.Cookies()，但只适用于简单键值
这是最常用也最容易出错的入口：c.Cookies() 接收一个 key 字符串，返回对应的原始值（未解码、未验证）。
- 它不校验
Secure或HttpOnly标志，也不关心是否过期——只做字面匹配 - 如果 Cookie 是 URL 编码过的（比如含空格、中文），
c.Cookies("token")返回的是编码后字符串，需手动url.QueryUnescape() - 多个同名 Cookie（如不同 path）时，
c.Cookies()只返回第一个匹配项（按请求头顺序） - 示例：
token := c.Cookies("auth_token") if token == "" { return c.Status(401).SendString("missing auth_token cookie") }
读带签名或加密的 Cookie：别绕过 fiber.Cookie 配置
Fiber 不内置签名/加密 Cookie 解析，但如果你用 c.Cookie() 写入时启用了 Secure、HTTPOnly 或自定义 SameSite，读的时候必须确保客户端发送的 Cookie 满足这些约束，否则浏览器根本不会带上它。
- 前端发请求时没带
credentials: "include"，Secure+SameSite=Strict的 Cookie 就不会被发送 - 开发环境用
http://localhost但设了Domain="example.com"，浏览器会静默丢弃该 Cookie - 想验证签名？得自己用
gorilla/securecookie或golang.org/x/crypto/acme解包，Fiber 不介入这一层
从 Cookie 解析 JWT payload：先取值，再解码，别跳步
很多用户以为 c.Cookies("jwt") 拿到的就是用户 ID——其实只是 Base64Url 编码的三段字符串。payload 解析必须显式做，且要校验 signature（除非你信任前端传来的任意值）。
- 不要直接
json.Unmarshal([]byte(c.Cookies("jwt")), &v)——那是把整个 JWT 当 JSON 解，会失败 - 正确流程：取值 → 拆分三段 → Base64Url 解码 header/payload →
jwt.Parse()校验签名和 exp/nbf - 常见坑：
c.Cookies()返回空，但其实是前端没发（检查 Network → Request Headers → Cookie 字段是否存在） - 示例片段：
raw := c.Cookies("jwt") if raw == "" { return c.Status(401).SendString("no jwt cookie") } token, err := jwt.Parse(raw, func(t *jwt.Token) (interface{}, error) { return []byte("your-secret"), nil }) if err != nil || !token.Valid { return c.Status(401).SendString("invalid jwt") } claims, ok := token.Claims.(jwt.MapClaims) if !ok { return c.Status(401).SendString("bad claims") } userID := claims["user_id"].(string)
调试 Cookie 读取失败：优先查请求头和浏览器行为
90% 的 “读不到 Cookie” 问题，根源不在 Fiber 代码，而在请求发起方式或浏览器策略。
- 用
c.Get("Cookie")打印原始请求头，确认 Cookie 字段里有没有你要的 key - Chrome DevTools → Application → Cookies，看当前域名下是否有该 Cookie、是否已过期、
Path是否匹配路由 - 如果是跨域请求，确认后端设置了
c.Set("Access-Control-Allow-Credentials", "true")，且前端 fetch 加了credentials: "include" - 本地开发用
http://localhost:3000但 Cookie 设了Domain=".example.com"？浏览器直接忽略
c.Cookies() 是个裸通道，它不替你判断“这个 Cookie 是否可信”，也不帮你做任何业务级校验。真正难的从来不是怎么读，而是读到之后——你敢不敢信。 
