Echo框架中c.SetCookie()必须传入*http.Cookie实例，不可直接设键值对；需显式构造http.Cookie结构体并设置Name、Value、Path、Domain、MaxAge、HttpOnly、Secure等字段，且MaxAge与Expires二选一。
echo.Context.SetCookie()必须传*http.Cookie，不能直接设键值对
很多人试图用 c.SetCookie("name", "value", 3600) 这类伪函数调用，但 Echo 框架根本不支持——它只接受已初始化的 *http.Cookie 实例。传错类型会导致静默失败或 panic。
正确做法是显式构造 http.Cookie 结构体，再调用 c.SetCookie()：
cookie := &http.Cookie{
Name: "session_id",
Value: "abc123",
Path: "/",
Domain: ".example.com",
MaxAge: 3600,
HttpOnly: true,
Secure: true, // 生产环境必须配
}
c.SetCookie(cookie)
-
HttpOnly和Secure必须显式设为true，默认都是false -
Domain带前导点（如".example.com"）才支持子域共享；不写则仅限当前主机 -
MaxAge和Expires二选一，同时设可能被浏览器忽略；设为负数（如-1）等效于删除
读取 HttpOnly Cookie 时 document.cookie 拿不到，但服务端照常接收
加了 HttpOnly 后，前端 JavaScript 执行 document.cookie 就看不到对应项——这不是 bug，是浏览器强制行为。但请求发到后端时，Cookie 仍会完整出现在 Cookie 请求头里，c.Cookie("session_id") 照常能读到。
常见误判场景：
- 前端调试时发现
document.cookie为空，以为 Cookie 没设成功 → 实际只是被屏蔽了读取权限 - 用 Postman 或 curl 测试时没带
-b参数，误以为服务端收不到 → 其实只要请求头含Cookie: session_id=abc123，c.Cookie()就能取到 - 在 DevTools 的 Application → Cookies 面板里能看到该 Cookie，但勾选了 “HttpOnly” 列 → 这正是生效的标志，不是异常
HttpOnly 不防 CSRF，和 SameSite、CSRF Token 必须配合用
HttpOnly 只阻断 XSS 场景下 JS 窃取 Cookie，对 CSRF 完全无效。攻击者仍可诱导用户点击恶意链接或提交表单，浏览器会自动带上所有匹配的 Cookie（包括 HttpOnly 的），后端若无校验就会执行操作。
必须叠加防护：
- 设置
SameSite=Lax或Strict（通过cookie.SameSite = http.SameSiteLaxMode） - 对非 GET 请求启用 CSRF Token 校验（推荐用
gorilla/csrf，注意它依赖 session 中间件且必须后注册） - 避免把敏感操作绑在 GET 上（如
/api/logout?confirm=true），否则SameSite=Lax也拦不住
单独开 HttpOnly 而忽略这些，等于给门装了锁却留着窗大开。
session 中间件的 HttpOnly 是另一套逻辑，别和普通 Cookie 混
如果你用 echo-contrib/session 管理会话，它的 session.Middleware() 默认就启用了 HttpOnly 和 Secure，但配置入口不在 http.Cookie 字段里，而在中间件选项中：
store := sessions.NewFilesystemStore("/tmp", []byte("your-32-byte-secret-key-here"))
e.Use(session.Middleware(store, session.Config{
CookieHTTPOnly: true,
CookieSecure: true,
CookieSameSite: http.SameSiteLaxMode,
}))
这里几个关键点：
-
CookieHTTPOnly控制的是 session ID Cookie 的HttpOnly属性，和你自己用c.SetCookie()写的无关 -
your-32-byte-secret-key-here密钥长度必须 ≥32 字节，否则 AES 加密会 panic - 中间件注册顺序不能错：必须在
session.Middleware()之后再挂csrf.Protect()，否则 token 无法写入 session
最易忽略的是：session 名（如 "user_session"）在写入和读取时大小写必须完全一致，c.Get("User_Session") 拿不到 session.Values["user_session"]。
