不能连续调用c.SetCookie()，因其底层调用http.SetCookie()直接写Header，而反向代理或旧客户端可能合并/覆盖重复Set-Cookie头，且若WriteHeader()提前触发则后续调用静默失败。
不能用多次 c.SetCookie() 顺序调用“凑出多个 Cookie”——浏览器可能只接收最后一个，或因 Header 写入时机冲突导致部分丢失。
为什么不能连续调用 c.SetCookie()？
Echo 的 c.SetCookie() 底层调用的是 http.SetCookie()，它直接向 Response Header 写入 Set-Cookie 字段。但 HTTP 规范允许同名 Header 多次出现，而某些反向代理（如 Nginx）、负载均衡器或旧版客户端会合并/覆盖重复的 Set-Cookie 行，尤其当写入间隔极短、底层 writer 缓冲未刷新时。
更隐蔽的问题是：如果中间件链中有其他组件（如压缩、重定向）提前触发了 WriteHeader()，后续的 SetCookie() 就会静默失败——没有报错，但浏览器收不到。
- 每次
c.SetCookie()都要传一个完整的*http.Cookie实例，不是键值对 -
http.Cookie.Name必须唯一，否则浏览器按“后写入者胜”策略处理 - 不建议依赖“调用多次就一定生效”，这是不稳定的假定
c.SetCookie() 批量设置的正确姿势
真正可靠的方式是：在单个请求生命周期内，只调用一次 c.SetCookie() ——但这显然不现实。所以实际做法是：手动构造多个 Set-Cookie Header 字符串，用 c.Response().Header().Add() 逐个追加。
注意：必须确保在任何 c.String()、c.JSON() 或 c.Render() 之前执行，否则 Header 已被提交，Add() 无效。
- 先构建每个
http.Cookie实例，调用其String()方法得到标准格式字符串（如"theme=dark; Path=/; HttpOnly; Secure"） - 对每个字符串，用
c.Response().Header().Add("Set-Cookie", cookieStr) - 避免手拼字符串——
http.Cookie.String()会自动处理分号、空格、引号和编码，比自己拼接安全得多
示例：
cookie1 := &http.Cookie{
Name: "session_id",
Value: "abc123",
Path: "/",
HttpOnly: true,
Secure: true,
MaxAge: 3600,
}
cookie2 := &http.Cookie{
Name: "lang",
Value: "zh-CN",
Path: "/",
HttpOnly: false,
Secure: true,
}
c.Response().Header().Add("Set-Cookie", cookie1.String())
c.Response().Header().Add("Set-Cookie", cookie2.String())
c.String(http.StatusOK, "ok")
哪些参数容易配错导致 Cookie 不生效？
批量设置时，各 Cookie 的域、路径、安全属性若不一致，会导致部分被浏览器拒绝或无法读取。
-
Domain必须以点开头（如".example.com"）才能被子域名共享；设成"example.com"则api.example.com读不到 -
Path区分大小写且必须以/开头；设成"user"是无效路径，浏览器忽略 -
Secure为true时，HTTP 请求下该 Cookie 完全不会发送——本地开发用http://localhost时务必设false或根据环境动态判断 -
SameSite建议显式设为"Lax"或"Strict"，不填则部分浏览器按"None"处理，可能被拦截
读取多个 Cookie 时的常见陷阱
别用 c.Cookies() 遍历后手动筛选——它返回的是原始 *http.Cookie 切片，但其中可能混着已被服务端标记为 MaxAge=0 的过期 Cookie（浏览器已删除，但框架仍返回）。
- 优先用
c.Cookie("name")按需读取，它内部做了存在性检查，返回http.ErrNoCookie而非 nil 值 - 如果真要批量读，
c.Cookies()后应检查每个cookie.Value是否为空，以及cookie.MaxAge 是否成立 - 不要把
c.Cookies()结果直接 JSON 序列化返回给前端——里面含敏感字段如HttpOnly，且结构不稳定
最易被忽略的一点：Cookie 名称大小写敏感，c.Cookie("SessionID") 和 c.Cookie("sessionid") 是两个完全不同的键，服务端写入和前端读取必须严格一致。
