SetCookie写入但浏览器未保存，主因是domain、path、Secure等属性配置错误：domain需与请求域名严格匹配，path须覆盖请求路径，HTTP环境Secure必须设为false，且需确保代理转发Cookie头。
为什么 SetCookie 写了但浏览器没存？
常见现象：调用 c.SetCookie() 后，前端检查 Network → Cookies 栏为空，或后续请求没带上 Cookie。根本原因不是 Echo 有问题，而是没设对 domain、path 或忽略了 Secure/HttpOnly 的约束。
-
domain必须与当前请求域名严格匹配（如后端是localhost:8080，就别填.example.com；开发时留空或填localhost） -
path默认是"/"，但如果前端只在/api/下发请求，而你设了path: "/auth"，那请求进不到该路径就不会携带 -
Secure: true要求 HTTPS，本地 HTTP 开发必须设为false，否则浏览器直接忽略 -
HttpOnly: true是安全推荐，但意味着 JS 无法读取（document.cookie看不到），别指望用它做前端状态判断
如何用 c.GetCookie() 安全读取登录态？
很多人直接 c.GetCookie("session_id") 然后拿字符串去查数据库——这等于把 session ID 当明文 token 用，没校验完整性，极易被篡改。正确做法是结合签名或加密验证。
- 用
gorilla/securecookie或golang.org/x/crypto/nacl/secretbox对 Cookie 值加密后再写入，读取时先解密再解析 - 不要自己拼接
username:exp:signature字符串，容易出错；用现成的 securecookie 实例管理编码/解码 - 务必检查
err != nil——c.GetCookie()成功只代表键存在，但解密失败时会返回空值+错误，不判错会导致空指针或误判未登录 - 过期时间必须双端一致：写入时用
time.Now().Add(24 * time.Hour)，读取后也要比对解密出的exp字段，不能只信浏览器传来的原始值
为什么中间件里 c.Request().Cookie() 总 panic？
这是典型误用：Echo 的 c.Request() 返回的是 *http.Request，其 Cookie() 方法在 Cookie 不存在时返回 nil, ErrNoCookie，但有人直接解引用导致 panic。更关键的是，它绕过了 Echo 自带的 Cookie 解析逻辑（比如自动处理 Max-Age 和 Expires 归一化）。
- 统一用
c.GetCookie("name")，它内部已做 error guard，返回""和具体错误，不会 panic - 如果确实要访问原生
*http.Request（例如调试），务必先检查err：cookie, err := c.Request().Cookie("name"); if err != http.ErrNoCookie { ... } - 注意：某些代理（如 Nginx）默认不转发 Cookie，若部署后突然失效，先确认
proxy_pass_request_headers on;已开启
登录成功后重定向，Cookie 却丢失？
典型场景：POST /login 成功后调用 c.Redirect(http.StatusFound, "/dashboard")，但跳转后的页面发现没登录态。这是因为重定向响应本身没带 Set-Cookie 头——你可能在 Redirect() 之后才调用 SetCookie()，或者用了异步逻辑（比如 goroutine 里写 Cookie）。
- Cookie 设置必须在
c.Redirect()之前完成，且不能跨 goroutine - 避免在 handler 里启动新 goroutine 写 Cookie，HTTP 响应头一旦写出就不可追加
- 如果业务逻辑耗时，先生成 session 数据、写库、签发 Cookie，再重定向；别把重定向当“提交完成”的信号
- 测试时用 curl -v 检查响应头是否真有
Set-Cookie:字段，而不是只看浏览器表现
真正麻烦的从来不是怎么写 Cookie，而是怎么让每次读都拿到可信、未过期、未被篡改的值。加密密钥轮换、签名算法选型、时钟漂移处理……这些细节不显眼，但线上出问题时，90% 都卡在这几步。
