Revel框架中推荐用Controller.GetCookie("name")安全读取Cookie，它自动解码并校验空值；也可用Controller.Request.Cookies["name"]获取原始编码字符串，但需手动url.QueryUnescape。
Revel框架里怎么读取请求中的Cookie
Revel的Controller对象自带Request.Cookie()方法，但直接调用容易返回nil——不是API有问题，而是它只读**原始HTTP Cookie头中未解码的值**，且不自动处理Domain/Path/Secure等属性。实际开发中更推荐用Controller.Request.Cookies（map类型）或Controller.GetCookie()。
-
Controller.GetCookie("session_id")：安全获取，内部做了url.QueryUnescape和空值检查，返回*http.Cookie指针，推荐首选 -
Controller.Request.Cookies["theme"]：直接查map，但值是原始字符串（含%xx编码），需手动url.QueryUnescape - 如果Cookie被标记为
HttpOnly，JavaScript无法读取，但Revel服务端照常可读——这点不影响后端逻辑
设置Cookie时为什么前端收不到
常见原因是没设Path或Domain，导致浏览器认为Cookie不匹配当前请求路径而丢弃。Revel用Controller.SetCookie()时，必须显式传入revel.CookieOptions，否则默认Path="/"、Domain=""（空Domain在现代浏览器中会被忽略）。
- 写入带路径的Cookie：
c.SetCookie(&revel.Cookie{ Name: "token", Value: "abc123", Options: revel.CookieOptions{Path: "/api", HttpOnly: true} }) - 跨子域共享要填
Domain：比如站点在app.example.com，想让api.example.com也能读，得设Domain: ".example.com"（注意开头的点） -
Secure: true仅在HTTPS下生效，HTTP请求中设了也会被浏览器拒绝存储
Cookie加密与签名验证怎么做
Revel默认不加密Cookie内容，SetCookie存什么前端就看到什么。敏感信息（如用户ID）不能明文塞进Cookie。框架提供revel.HMACSHA1签名机制，但需手动封装：先用revel.Config.StringDefault("app.cookie.secret", "")读密钥，再对值做HMAC拼接。
- 签名写法示例：
signed := value + "|" + revel.HMACSHA1(value, secret)，然后SetCookie存这个字符串 - 读取时拆分
|，重新计算HMAC比对，不一致则丢弃——Revel不内置此流程，得自己写工具函数 - 别用
base64假装加密，它不是加密，只是编码，毫无安全性
调试Cookie相关问题的实操技巧
浏览器开发者工具的Application → Cookies标签页只能看当前域名下的Cookie，但Revel日志里看不到原始Cookie头。最直接的调试方式是打印c.Request.Header.Get("Cookie")，或者用fmt.Printf("All cookies: %+v\n", c.Request.Cookies)看原始map结构。
- 如果
GetCookie返回nil，先确认请求头里真有该Cookie：curl -v -b "theme=dark" http://localhost:9000/ - Chrome 95+对
SameSite默认 stricter，若没设SameSite选项，跨站请求会丢Cookie；加SameSite: http.SameSiteLaxMode可缓解 - Revel测试用例里模拟Cookie要手动构造
http.Request并调用AddCookie，TestController不自动注入
