必须用c.Cookie("name")读取单个Cookie，禁用http.Request.Cookies；它返回*http.Cookie和error，需检查error，且受Path、Domain、Secure等属性约束。
用 c.Cookie() 读单个 Cookie，别碰 http.Request.Cookies
直接调用 c.Cookie("token") 是唯一安全的读取方式。Echo 封装了底层逻辑，自动处理解析、签名验证（如果用了加密 Cookie Store）、Domain/Path 匹配等。手动访问 req.Cookies() 或解析 req.Header.Get("Cookie") 会绕过框架校验，导致读到过期、被篡改或路径不匹配的值。
常见错误现象：c.Cookie("user_id") 返回 http.ErrNoCookie，但浏览器 DevTools 确实能看到该 Cookie —— 很可能是 Path 或 Domain 不匹配（比如服务跑在 localhost:8080，而 Cookie 的 Domain 设成了 example.com）。
-
c.Cookie(name)返回*http.Cookie和error，必须检查 error；nil值不等于“不存在”，它可能只是没设Value - 若要兼容缺失场景，写法应为：
if cookie, err := c.Cookie("theme"); err == nil { use(cookie.Value) } - 不要对
cookie.Value做未经校验的类型转换（比如直接strconv.Atoi(cookie.Value)），空字符串或非数字会 panic
c.Cookies() 拿全部 Cookie，适合调试但慎用于生产逻辑
c.Cookies() 返回 []*http.Cookie，是原始请求中所有合法 Cookie 的切片。它不做过滤，也不做解密（即使你用了 sessions.NewCookieStore），所以看到的是明文或 base64 编码后的原始值。
使用场景有限：日志记录、审计、临时排查（比如确认某个 Cookie 是否被正确发送），**不适合用于业务判断逻辑**—— 因为无法区分哪些是框架自动生成的（如 session ID），哪些是应用层写的，且没有统一的校验入口。
- 遍历时注意：每个
*http.Cookie的Name是字符串，大小写敏感；Value可能是 URL 编码过的，需用url.QueryUnescape解码 - 不要用
c.Cookies()替代c.Cookie("x")去查特定键——性能差，且多一层解析开销 - 如果启用了 HTTPS，但 Cookie 缺少
Secure标志，c.Cookies()仍会返回它；但浏览器不会发送，实际行为以浏览器为准
读取前必须确认 Cookie 的作用域和生命周期配置
Cookie 能否被读到，不只取决于是否存在，更取决于它的 Path、Domain、Secure、HttpOnly 和过期时间。Echo 不会帮你修正这些，只忠实地转发请求头里的内容。
典型坑：c.Cookie("auth") 在 /api/login 成功写入，但在 /dashboard 读不到——大概率是写入时 Path 设成了 /api，而默认值才是 /。
- 写 Cookie 时显式设
Path: "/"，除非你明确需要路径隔离 - 开发环境用
localhost时，Domain必须留空或设为"localhost"；填"127.0.0.1"会导致跨域失效 -
Expires和MaxAge二选一即可；同时设可能被某些浏览器忽略，优先用MaxAge（秒级整数，更可靠）
Session Cookie 和普通 Cookie 别混着读
如果你用了 session.Middleware()，框架会自动生成一个名为 SESSION_NAME（默认 session）的 Cookie，里面存的是 session ID。这个 ID 本身不是业务数据，不能直接当用户信息用。
想拿用户登录态，必须走 session.Get(c) 拿到 *sessions.Session，再从 sess.Values["user_id"] 里取——而不是试图 c.Cookie("session").Value 后自己解密或反序列化。
- Session Cookie 的
HttpOnly默认为true，JS 读不到；普通 Cookie 若没设，JS 可读，有 XSS 风险 - Session Cookie 的
Secure应随环境自动切换：生产强制true，开发可设false，但别硬编码进代码 - 别在中间件里提前读
c.Cookie("session")做鉴权——Session 中间件还没执行，值为空或无效
c.Cookie() 就会安静地返回 http.ErrNoCookie —— 它不会告诉你哪错了。 
