Echo框架中Cookie生命周期必须通过http.Cookie.MaxAge（秒数，-1为会话级、0为立即删除）或Expires（UTC时间）显式设置；二者二选一，同时设可能导致浏览器忽略；须用c.SetCookie()而非http.SetCookie()，且Path、Domain、Secure等属性需严格匹配才能正确写入或删除。
Echo 框架里 Cookie 生命周期不是靠 time.Now().Add() 手算时间，而是必须通过 http.Cookie.MaxAge 或 http.Cookie.Expires 显式控制；两者同时设可能被浏览器忽略，且 MaxAge 为负数（如 -1）才表示会话级 Cookie。
为什么 c.SetCookie() 写的 Cookie 立刻失效或不生效
常见错误是只设置了 Expires 时间戳但没校准时区，或误把 MaxAge 设为 0 以为“长期有效”——其实 0 表示立即删除。另外，Echo 不接受手动调用 http.SetCookie()，否则 Header 冲突导致写入失败。
-
MaxAge是秒数：正数表示多少秒后过期；-1表示会话 Cookie（浏览器关闭即丢）；0表示立刻删除 -
Expires是绝对时间：time.Time类型，必须用 UTC 时间（推荐time.Now().UTC().Add(...)） - 二者二选一即可，同时设置时部分浏览器优先看
MaxAge，部分忽略MaxAge只认Expires - 写 Cookie 必须用
c.SetCookie(&http.Cookie{...})，不能用http.SetCookie(c.Response(), ...)
http.Cookie.Path 和 http.Cookie.Domain 怎么配才让 Cookie 正确携带
路径和域名决定了浏览器在哪些请求里自动带上这个 Cookie。配错会导致登录后跳转子路径就拿不到 Cookie，或跨子域共享失败。
-
Path默认是"/"，但若设成"/admin"，则/api/login请求不会携带它 -
Domain必须带点前缀才能跨子域：想让app.example.com和api.example.com共享 Cookie，得设Domain: ".example.com"（注意开头的点） - 若当前是 localhost 开发，
Domain必须留空或设为"localhost"，设".localhost"会被浏览器拒绝 - 生产环境务必确认域名大小写一致，
Example.com和example.com被视为不同域
安全属性 Secure、HttpOnly、SameSite 怎么开才不踩坑
这三个布尔字段不设或设错，轻则本地开发跑不通，重则上线后被 XSS 或 CSRF 攻击利用。
-
Secure: true只在 HTTPS 下发送 —— 本地用 HTTP 调试时必须关掉，否则 Cookie 根本不存；Nginx/反向代理后端也要确认X-Forwarded-Proto头被正确识别 -
HttpOnly: true阻止 JS 访问，防 XSS 泄露 session_id；但如果你依赖前端读取某个非敏感 Cookie（如语言偏好），就得关掉它 -
SameSite推荐设http.SameSiteLaxMode：兼顾安全性与表单提交兼容性；Strict会阻断所有跨站 GET，None必须配合Secure: true否则浏览器拒绝 - 测试时用浏览器 DevTools → Application → Cookies 查看实际写入的属性，比日志更直观
怎么安全地删除一个已存在的 Cookie
删 Cookie 不是清空值，而是用相同 Name、Path、Domain 重新发一个 MaxAge: 0 的覆盖指令。漏掉任一匹配项，旧 Cookie 就还在。
- 必须保证
Name、Path、Domain和当初设置时完全一致（包括大小写和斜杠结尾） - 不要只设
Value: ""，这没用；必须设MaxAge: 0或Expires: time.Unix(0, 0).UTC() - 如果原 Cookie 是
Secure: true，删除时也得带Secure: true，否则浏览器忽略 - 示例：
c.SetCookie(&http.Cookie{ Name: "auth_token", Value: "", Path: "/", Domain: ".example.com", MaxAge: 0, HttpOnly: true, Secure: true, SameSite: http.SameSiteLaxMode, })
最易被忽略的是：Cookie 的 Path 和 Domain 必须和写入时一字不差，哪怕多一个斜杠或少一个点，删除操作就静默失败。调试时直接看浏览器 DevTools 的 Cookies 列表，比查服务端日志更快。
