清除Cookie必须设置过期时间为过去时间，且Path、Domain、Secure、HttpOnly等属性须与原Cookie完全一致，否则浏览器无法匹配删除。
使用 c.SetCookie() 清除 Cookie 时必须设置过期时间为过去时间
Echo 框架本身没有单独的 DeleteCookie() 方法，清除 Cookie 的本质是让浏览器主动删除它——这只能通过设置一个已过期的 Expires 或极小的 MaxAge 实现。直接调用 c.SetCookie() 并传入过去的时间戳，浏览器收到后会立即丢弃该 Cookie。
常见错误是只设空值或 ""，但这样只会把 Cookie 值置为空字符串，而 Cookie 依然存在且有效。
- 必须显式指定
Expires为过去时间（如time.Unix(0, 0)）或MaxAge: 0 - 路径（
Path）和域名（Domain）必须与原 Cookie 完全一致，否则浏览器不会匹配并删除 - 若原 Cookie 是
Secure或HttpOnly，清除时也需保持对应标志位一致，否则无效
清除带 Secure/HttpOnly 标志的 Cookie 必须严格复现原属性
如果原始 Cookie 是通过 HTTPS 设置的（Secure: true），或标记为 HttpOnly，那么清除请求也必须在 HTTPS 下发起，并在 c.SetCookie() 中明确传入相同标志。否则浏览器会忽略这个“清除指令”。
例如，在开发环境用 HTTP 访问却尝试清除一个 Secure Cookie，浏览器直接无视该响应头；又或者漏掉 HttpOnly: true，会导致 Cookie 值被清空但条目仍保留在浏览器中（表现为 DevTools 里还能看到，只是值为空）。
-
Secure：仅当c.Request().TLS != nil或明确知道当前是 HTTPS 时才设true -
HttpOnly：只要原 Cookie 设了，清除时就必须设为true，不能省略 - 建议从原 Cookie 头中解析出路径和域名，而不是硬编码——尤其在多子域部署时
推荐的清除函数封装：兼容不同场景的 ClearCookie()
手动每次写一遍 c.SetCookie() 容易遗漏参数。可以封装一个工具函数，自动处理时间、路径、安全标志等逻辑，降低出错概率。
func ClearCookie(c echo.Context, name string) {
cookie := &http.Cookie{
Name: name,
Value: "",
Path: "/",
MaxAge: 0,
HttpOnly: true, // 若你确定原 Cookie 是 HttpOnly
Secure: c.Request().TLS != nil || c.Request().Header.Get("X-Forwarded-Proto") == "https",
}
http.SetCookie(c.Response(), cookie)
}
注意：Path 默认设为 "/" 是常见做法，但如果原 Cookie 是 Path: "/admin"，这里就必须改成对应路径，否则清除失败。
- 不依赖
c.SetCookie()而用http.SetCookie()可避免 Echo 内部对空值的额外处理 - 检查
X-Forwarded-Proto是为了在反向代理（如 Nginx）后正确识别 HTTPS - 如果无法确认原 Cookie 的
HttpOnly状态，最稳妥的方式是查文档或抓包确认，不要凭空假设
验证 Cookie 是否真正被清除的两个关键点
清除操作发出去后，不能只看响应头有没有 Set-Cookie，还要确认浏览器是否执行了删除。最容易被忽略的是：前端 JS 无法读取 HttpOnly Cookie，所以 document.cookie 查不到 ≠ 已删除；而 DevTools 的 Application → Cookies 面板显示为空值也不代表已删——要看条目是否还存在。
- 在 Chrome DevTools 的 Application → Cookies 里，目标 Cookie 条目**完全消失**才算成功
- 如果条目还在但
Expires显示为 “Session”，说明MaxAge: 0或过期时间未生效，可能是时间字段没传对 - 用 curl 检查响应头：
curl -I https://yoursite.com/logout，确认返回中包含类似Set-Cookie: session=; Max-Age=0; Path=/; Secure; HttpOnly
实际项目中，很多“删不掉”的问题，根源都在路径、域名或协议标志不匹配——不是代码没执行，而是浏览器压根没认出这是同一个 Cookie。
