Echo 中修改 Cookie 唯一正经途径是 echo.Context.SetCookie()，需传入完整 *http.Cookie 对象，Name、Value、Path、Domain 必须显式设置且与原 Cookie 一致才能覆盖；删除时设 MaxAge = -1 并保持匹配字段严格一致。
echo.Context.SetCookie() 是唯一正经途径
在 Echo 中，SetCookie() 是修改（或首次设置）Cookie 的标准方式，没有“更新”或“覆盖”独立函数。它接收一个 *http.Cookie 指针，底层调用的是 http.SetCookie()，最终写入响应头。你不能只改其中某个字段（比如只改 MaxAge），必须构造完整的新 http.Cookie 对象再传进去。
常见错误是试图复用旧 Cookie 对象并只改部分字段，但 SetCookie() 不会合并属性——它完全替换整条 Set-Cookie 头。所以每次修改都得重造对象。
- 必须显式设置
Name和Value，哪怕只是想延长有效期 -
Path和Domain必须与原 Cookie 一致，否则浏览器视为不同 Cookie，不会覆盖 - 若要“删除”，设
MaxAge = -1或Expires = time.Unix(0, 0)，且其他匹配字段（Name/Path/Domain）必须严格一致
修改 MaxAge 或 Expires 时的坑：二选一别混用
http.Cookie 中 MaxAge 和 Expires 是互斥的：如果 MaxAge >= 0，Expires 会被忽略；如果 MaxAge （如 -1），表示立即过期；如果 <code>MaxAge == 0，则不设置 Max-Age 属性，仅依赖 Expires（如果设置了）。
实际开发中建议统一用 MaxAge，更直观、不易出错。例如把有效期从 3600 秒延长到 7200 秒：
cookie := &http.Cookie{
Name: "session_id",
Value: "abc123",
Path: "/",
Domain: ".example.com",
MaxAge: 7200,
HttpOnly: true,
Secure: true,
}
c.SetCookie(cookie)
- 不要同时设
MaxAge = 7200和Expires = time.Now().Add(2 * time.Hour)，后者会被忽略 - 若原 Cookie 是用
Expires设置的（即MaxAge == 0），修改时也应继续用Expires，否则可能因时区或精度问题导致行为不一致
跨子域共享时 Domain 字段必须带点前缀
当需要让 api.example.com 和 www.example.com 共享同一个 Cookie，Domain 必须设为 ".example.com"（开头带点），而不是 "example.com" 或 "www.example.com"。Echo 不做自动补全，填错就失效。
这个点不是可选的格式习惯，而是 RFC 6265 强制要求：不带点的 Domain 值只匹配精确主机名；带点才表示“该域名及其所有子域”。
- 正确：
Domain: ".example.com" - 错误：
Domain: "example.com"（只匹配 exact host，不匹配子域） - 错误：
Domain: "sub.example.com"（无法被api.example.com读取） - 注意：若当前请求来自
localhost，Domain必须留空或不设，否则浏览器直接拒绝存储
Secure 和 HttpOnly 修改后必须显式重传
Secure 和 HttpOnly 是布尔标记位，一旦原始 Cookie 没设，后续仅靠 SetCookie() 传新值也不会“追加”这些属性——它们默认是 false。也就是说，如果你之前设的 Cookie 没开 HttpOnly，现在想补上，必须在新 http.Cookie 对象里明确写 HttpOnly: true。
这和浏览器策略有关：每个 Set-Cookie 头是独立声明，属性不会继承。漏写就等于关掉。
- 旧 Cookie：
Set-Cookie: token=abc; Path=/→HttpOnly和Secure都未启用 - 想补安全属性？必须传：
HttpOnly: true, Secure: true，否则新头里依然没有这两个 flag - 生产环境务必检查：没设
Secure的 Cookie 在 HTTPS 站点下仍可能被明文发送（取决于浏览器策略），而没设HttpOnly的容易被 XSS 窃取
真正麻烦的不是怎么写代码，而是每次修改都要核对 Name、Path、Domain 三者是否和原始 Cookie 完全一致——差一个字符，浏览器就当它是新 Cookie 存起来，旧的还挂着，结果就是双份残留、登出失效、状态错乱。
