设为“/”才能全站生效，因Path="/“是唯一合法值，可匹配根路径及所有子路径；其他值如”/index"或空字符串会导致部分路径不携带Cookie。
Cookie.Path设为"/"才能匹配根路径及所有子路径
设置 Cookie 仅在根路径生效，本质是控制浏览器发送该 Cookie 的请求路径范围。关键不是“仅限根路径”，而是让 Path 属性精确匹配你期望的最小前缀——"/" 是唯一能覆盖 /、/user、/api/login 等所有路径的合法值；设成 "/" 以外的任何值（比如 "/index" 或空字符串）都可能导致部分请求不携带 Cookie。
常见错误是误以为 Path: "/index" 能限制 Cookie 只发给 /index，但实际浏览器行为是：只要当前请求 URL 的路径以该 Path 值为前缀，就带上 Cookie。所以 Path: "/index" 会让 /index.html、/index/api 都带上它，反而更宽泛。
-
Path必须是绝对路径，以/开头，否则会被浏览器忽略或降级为当前路径 - 设
Path: "/"是标准做法，也是 Echo 中最安全的“全站可用”起点 - 若真需严格限定只在
/（即首页）发送 Cookie，浏览器原生不支持——只能靠后端逻辑判断c.Request().URL.Path == "/"后再决定是否读/写
c.SetCookie() 必须传入完整 *http.Cookie 实例
Echo 不允许直接调用 http.SetCookie() 或手动拼接 Header，所有写入必须走 c.SetCookie()，且参数必须是已初始化的 *http.Cookie 指针。
下面这段代码是正确写法：
cookie := &http.Cookie{
Name: "theme",
Value: "dark",
Path: "/",
MaxAge: 3600,
HttpOnly: true,
Secure: true, // 生产环境务必开启
}
c.SetCookie(cookie)
-
Expires和MaxAge二选一即可；同时设置可能被某些浏览器忽略 -
Secure: true在 HTTP 环境下会导致 Cookie 不被发送，开发时可临时设false，但上线前必须改回true - 不要漏掉
HttpOnly: true，防止 XSS 泄露敏感 Cookie
读取时 c.Cookie("name") 会返回 error，必须检查
即使 Cookie 已设在根路径，读取时仍可能失败。因为 c.Cookie("name") 在未找到时返回 http.ErrNoCookie，不是 nil。
典型错误写法：
cookie, _ := c.Cookie("theme") // 忽略 error → cookie 为 nil，后续 panic
fmt.Println(cookie.Value) // panic: runtime error: invalid memory address
正确处理方式：
cookie, err := c.Cookie("theme")
if err != nil {
if errors.Is(err, http.ErrNoCookie) {
// Cookie 不存在，走默认逻辑
return c.String(http.StatusOK, "theme=light")
}
return err
}
return c.String(http.StatusOK, "theme="+cookie.Value)
- 永远用
errors.Is(err, http.ErrNoCookie)判断缺失，而不是err == nil -
c.Cookies()返回全部 Cookie 切片，适合调试，但生产环境避免遍历——性能差且易暴露信息
跨域 + 根路径 Cookie 需配 AllowCredentials 和指定 Origin
如果前端在 https://app.example.com 访问后端 https://api.example.com，且希望根路径 Cookie 被携带，光设 Path: "/" 不够，还必须满足跨域条件：
- CORS 中间件必须启用
AllowCredentials: true -
AllowOrigins不能是"*"，必须显式列出前端域名，如[]string{"https://app.example.com"} - 后端响应头中
Access-Control-Allow-Origin的值必须与请求头Origin完全一致（大小写敏感） - 浏览器只会在
fetch(..., { credentials: "include" })时才发送 Cookie
容易被忽略的是：即使所有配置都对，Chrome 127+ 对 SameSite=Lax（默认值）的 Cookie 在跨域重定向场景下也会拒绝发送——若你的登录流程含 302 跳转，得显式设 SameSite: http.SameSiteNoneMode 并确保 Secure: true。
