必须显式替换 gorilla/sessions 默认 CookieStore 为 Redis 支持的 Store（如 redistore 或自研），否则 session 仍存于进程内存，重启或负载均衡时丢失；需统一密钥、设 Domain=".example.com"、MaxAge 为正数对齐 Redis TTL，并避免并发读写同一 session 实例。
必须显式替换 gorilla/sessions 默认的 CookieStore，否则 session 仍在内存里，Redis 连上了也白搭。
为什么 Echo + gorilla/sessions + Redis 仍会丢 session
常见错误是只改了连接地址、密钥，却没动 store 实例。gorilla/sessions 的 CookieStore 是默认实现，它压根不碰 Redis —— 所有 session.Values 都写在当前进程内存里。服务重启、负载均衡切实例、滚动更新时，数据直接消失。
根本问题不在 Echo，而在你传给 sessions.NewCookieStore() 的参数：它接收的是 []byte 密钥，不是 Redis 客户端。真正连 Redis 的，是你自己构造的 sessions.Store 实现。
- 别用
github.com/gorilla/sessions/redis：它只适配go-redis/redis/v8，而 v8 已 EOL；v9 的UniversalClient不满足redis.Cmdable接口，运行时报 panic - redistore（
github.com/boj/redistore）仍可用，但底层依赖github.com/gomodule/redigo/redis，不支持 v9 的 context 透传，超时控制弱 - 推荐手写 minimal
RedisStore，仅实现Save()和Load()，用go-redis/redis/v9+r.Context()确保链路可控
gorilla/sessions.Options.Domain 必须带前导点才能跨子域共享
用户从 app.example.com 登录后跳转到 api.example.com 读不到 session？不是 Redis 没响应，是浏览器根本没发 Cookie。HTTP 规范要求：只有 Domain 值以 . 开头（如 .example.com），浏览器才会把该 Cookie 同时发给所有子域名。
立即学习“go语言免费学习笔记（深入）”；
写成 example.com 或 www.example.com 都不行；开发环境用 localhost 更没法设二级域，建议改用 127.0.0.1.xip.io 类调试域名。
-
Options{Domain: ".example.com", Path: "/", HttpOnly: true, Secure: true}——Secure生产环境必须开，否则 HTTPS 下浏览器拒发 - 前端若用 AJAX 跨域请求，需同时设
credentials: true和后端响应头Access-Control-Allow-Credentials: true - 别在中间件里反复调
session.Save(r, w)：同一个*sessions.Session实例被多个 goroutine 并发写Values（map[interface{}]interface{}）会覆盖或 panic
Redis key 命名与 TTL 必须对齐 MaxAge，且入口刷 TTL
redistore 默认用 session: 前缀，但多服务共用一个 Redis 实例时容易 key 冲突。更关键的是：TTL 不只是“存多久”，它决定用户持续活跃时 session 是否意外过期。
单纯靠 Redis 自身 EXPIRE 不够 —— 如果 handler 中途 return（比如鉴权失败），后续的 TTL 刷新就漏了。必须在中间件入口读取原始 TTL，并在响应前统一刷新。
- Key 格式建议：
sess:auth-api:sessionID（含应用标识，避免混用） - 写入必须用
SET key value EX seconds或client.SetEx(ctx, key, val, ttl)，别分两步SET+EXPIRE - 入口处用
PTTL获取毫秒级剩余时间，出口前用Expire刷回相同 TTL（取配置最大有效期和原始 TTL 的较小值） -
MaxAge < 0→ Redis key 永不过期（泄漏风险）；MaxAge == 0→ 浏览器关标签失效，但 Redis 侧 TTL=0 → key 永驻；必须设正整数
并发安全和错误传播不能靠框架默认行为兜底
gorilla/sessions 的 Load() 返回 nil, err 时，默认静默忽略，后续访问 session.Values 直接 panic。这不是 Echo 的锅，是 store 实现没处理错误传播。
另外，Values 是非线程安全 map，两个 handler 同时写同一 session 实例，结果不可预测 —— 常见现象是登录态时有时无。
- 在自定义
RedisStore.Load()中，GET返回空字符串 ≠ key 不存在，得用EXISTS或约定空值 JSON{}+ TTL 防缓存穿透 - 别复用
*sessions.Session实例跨 goroutine：每个 handler 应独立调store.Get()拿新实例 - 连接池必须预热：
MaxIdle=32,MaxActive=128,IdleTimeout=5m,MaxConnAge=30m，否则高并发下第一个Save()就报redis: nil connection
最易被忽略的点：Session ID 必须由库生成（crypto/rand.Read() 或 UUID v4），不能拼接 userID 当 key；登出时得查 user-sessions hash 再批量 DEL，而不是靠 KEYS session:user123* —— 线上禁用 KEYS。
