在 Echo 中用 Cookie 实现自动登录必须配合 Session 才安全；纯 Cookie 存凭证是反模式，Cookie 读写须用 c.Cookie()/c.SetCookie()，Session 需显式注册中间件并配置存储后端，remember_token 应加密且时效可控，验证后需绑定 Session 并调 sess.Save()。
直接用 Cookie 实现自动登录在 Echo 中可行，但必须配合 Session 才安全；纯 Cookie 存用户名密码是反模式，会暴露凭证、无法主动失效、易被篡改。
Cookie 读写必须走 c.Cookie() 和 c.SetCookie()
框架禁用手动调用 http.SetCookie 或直接操作 ResponseWriter.Header()。否则 Header 冲突、Cookie 被忽略、或与中间件行为不一致。
-
c.Cookie("remember_token")返回*http.Cookie和error；若不存在会返回http.ErrNoCookie，不能忽略 error -
c.SetCookie()必须传入已初始化的*http.Cookie实例，不是键值对 —— 常见错误是传字符串或 map -
http.Cookie.MaxAge和http.Cookie.Expires二选一即可；同时设可能被浏览器忽略 - Cookie 的
Domain要与实际部署域名一致（如"example.com"），否则跨子域失效；Secure在 HTTPS 环境下必须为true，HttpOnly建议始终开启
Session 中间件必须显式注册并指定存储后端
Echo 自身不带 Session 支持，依赖 echo-contrib/session。没注册中间件就调 session.Get()，会 panic 或拿到 nil。
- 注册顺序必须在路由定义前：
e.Use(session.Middleware(store))，否则 handler 拿不到session.Context - 存储后端不能省：文件系统用
sessions.NewFilesystemStore，Redis 用sessions.NewRedisStore，不能只 import 包就认为“有 session” -
sessionKey是 AES 加密密钥，长度必须 ≥ 32 字节；用"123"这类短串会触发crypto/aes错误 - 同一 session 名（如
"user_session"）写入和读取时必须完全一致，大小写敏感
自动登录逻辑要分两层：Cookie 验证 + Session 绑定
典型流程是：用户勾选“记住我” → 后端生成加密 token 存入 Cookie → 登录成功后把用户 ID 写入 Session → 下次请求先查 Cookie token 是否有效，再加载对应 Session 数据。
- 不要把明文密码、用户名存 Cookie；应生成一次性、有时效、可撤销的
remember_token（如 UUID + 用户 ID + 时间戳 + HMAC） - 验证
remember_token时，必须查数据库确认是否未过期、未被注销，不能仅靠 Cookie 存在就放行 - 验证通过后，调
sess.Set("user_id", userID)并调sess.Save()；读取时先判空再断言：if id, ok := sess.Values["user_id"]; ok { ... } - Session 的
MaxAge和 Cookie 的MaxAge要协同：比如 Cookie 设 7 天，Session 数据本身设 24 小时过期，避免长期滞留服务端
最常被跳过的点是：忘记调 sess.Save() 导致 Session 不写入后端，或验证 token 后没清理旧 Session 就新建一个，造成并发登录状态混乱。
