Iris MVC中Cookie读写必须通过iris.Context显式调用GetCookie/SetCookie等方法，无法自动绑定；Ctx字段为空壳，需在方法体内手动操作，且校验逻辑应置于中间件而非BeforeActivation。
Cookie读写必须用iris.Context，不能靠结构体字段自动绑定
Iris MVC控制器里没有“自动注入Cookie”的机制，Ctx iris.Context字段只是个空壳，不赋值就等于没用。所有Cookie操作都得在方法体内显式调用ctx.SetCookie()、ctx.GetCookie()或ctx.RemoveCookie()。
常见错误是把Cookie当普通参数直绑：比如写func(c *UserController) Get(ctx iris.Context, token string) {...}想让框架从Cookie里取token——这不会生效。Iris只对URL路径参数、查询参数、JSON/Form数据做自动绑定，Cookie必须手动读。
-
ctx.SetCookie(&http.Cookie{Name: "session_id", Value: "abc123", Path: "/", MaxAge: 3600})—— 注意MaxAge单位是秒，设为0表示会话级Cookie -
val := ctx.GetCookie("session_id")返回string，如果不存在则为空字符串，不会panic - 要读带HttpOnly或Secure标记的Cookie，前端必须配
withCredentials: true，否则浏览器根本不会发过去
BeforeActivation里没法注册Cookie中间件，得用app.Use或Party.Use
有人试图在控制器的BeforeActivation里加Cookie校验逻辑，比如检查登录态——这是错的。BeforeActivation只管路由注册和依赖注入，不参与请求生命周期。Cookie校验属于中间件职责，必须挂到路由节点上。
正确做法是在mvc.Application注册前，对对应Party加中间件：
authParty := app.Party("/api")
authParty.Use(authMiddleware) // 这里才能读/验证Cookie
mvc.New(authParty).Handle(new(UserController))
- 中间件里用
ctx.GetCookie("auth_token")校验，失败就ctx.StopWithStatus(401) - 不要在中间件里
ctx.Next()后才校验，那样请求已进入控制器，再拦意义不大 - 如果多个控制器共用同一套Cookie逻辑，中间件比每个
BeginRequest里重复写更可靠
Session和Cookie混用时，sessions.Session对象本身不存Cookie值
Iris的sessions包底层确实用Cookie传session ID，但你拿到的*sessions.Session对象只是服务端会话句柄，不是Cookie副本。调用session.Set("user_id", 123)是往服务端存储写，不是往客户端Cookie写新字段。
如果你需要同时下发自定义Cookie（比如埋点ID）和Session，得分开操作：
- 先
session := sessions.Start(ctx)获取会话 - 再
ctx.SetCookie(...)写额外Cookie - 别指望
session.ID()能直接当Cookie值用——它只是内部标识，实际传输的是加密后的session cookie名（如mysession） - Session过期时间由
sessions.Config{Expires: 24 * time.Hour}控制，和Cookie的MaxAge是两回事
测试Cookie行为容易漏掉SameSite和Secure配置
本地开发时用http://localhost:8080访问，如果Cookie设置了Secure: true，浏览器会直接拒绝发送——因为HTTP协议不满足“安全上下文”要求。这不是Iris的问题，是浏览器策略。
调试阶段建议临时关闭这些标记：
ctx.SetCookie(&http.Cookie{Name: "test", Value: "ok", Secure: false, SameSite: http.SameSiteLaxMode})-
SameSite设为http.SameSiteLaxMode兼容性最好，Strict在跨站跳转时会丢Cookie - 上线前务必切回
Secure: true，且确保走HTTPS，否则SecureCookie永远发不出去
最常被忽略的是：Cookie的Domain字段一旦设了（比如Domain: ".example.com"），就不能在localhost下生效，必须用真实域名配合HTTPS测试。
