正确做法是用c.SetCookie()传入*http.Cookie实例，需设Name、Value、Path等字段，MaxAge与Expires二选一，Domain须匹配请求域名，Secure在HTTPS下必须为true，SameSite应显式设置；读取时需检查http.ErrNoCookie错误。
怎么用 c.SetCookie() 写自定义 Cookie
必须用 c.SetCookie()，不能手动调用 http.SetCookie() 或直接操作 ResponseWriter.Header()，否则 Header 冲突、Cookie 被忽略或响应乱序。
正确写法是先构造一个 *http.Cookie 实例，再传给 c.SetCookie()：
cookie := &http.Cookie{
Name: "session_id",
Value: "abc123",
Path: "/",
Domain: "example.com",
MaxAge: 3600,
HttpOnly: true,
Secure: true,
SameSite: http.SameSiteLaxMode,
}
c.SetCookie(cookie)
-
MaxAge和Expires二选一即可；同时设可能被浏览器忽略 -
Domain必须匹配请求域名（含子域），填错会导致 Cookie 不发送 -
Secure在 HTTPS 环境下必须为true，否则浏览器拒绝存储 -
SameSite推荐显式设为http.SameSiteLaxMode或http.SameSiteStrictMode，避免 CSRF 风险
c.Cookie() 读取时为什么总报 http.ErrNoCookie
这是正常行为：c.Cookie("name") 返回 *http.Cookie 和 error，如果 Cookie 不存在，error 就是 http.ErrNoCookie，不是 panic，但容易被忽略导致后续 nil dereference。
安全读取方式：
cookie, err := c.Cookie("session_id")
if errors.Is(err, http.ErrNoCookie) {
// Cookie 未携带，走未登录逻辑
return c.JSON(http.StatusUnauthorized, map[string]string{"error": "missing session"})
}
if err != nil {
return err
}
// 此时 cookie != nil，可安全取值
value := cookie.Value
- 别用
cookie := c.Request().Cookie("name")—— Echo 封装了请求，绕过c.Cookie()会漏掉框架对 Secure/Domain 的校验逻辑 -
c.Cookies()返回所有 Cookie 切片，适合调试或批量检查，但性能略低，生产环境慎用
动态设置 Cookie 过期时间要避开哪些坑
Cookie 过期控制依赖 MaxAge（秒）或 Expires（绝对时间），但两者语义不同，且和 Session 过期易混淆。
- 若后端 Session 存 Redis 且 TTL 是 10 分钟，Cookie 的
MaxAge却设成 30 分钟 → 用户 Cookie 有效但 Session 已销毁，登录态“假存活” - 用
time.Now().Add(10 * time.Minute)赋值给Expires时，没设cookie.RawExpires→ 某些旧浏览器解析失败 - 开发环境常设
MaxAge = 0（会话级 Cookie），但忘记在生产环境覆盖 → 上线后用户关浏览器就登出
建议统一用 MaxAge，并和后端 Session TTL 严格对齐。需要“长期登录”时，应配合刷新机制（如每次请求延长 Redis TTL + 更新 Cookie MaxAge），而不是单纯设大数值。
跨子域共享 Cookie 怎么配 Domain 参数
比如主站 example.com 和管理后台 admin.example.com 要共用同一份登录态，Domain 必须设为 .example.com（注意开头的点）。
- 填
example.com（无点）→ 只匹配该域名，不下发到子域 - 填
.example.com（有点）→ 匹配所有子域，但要求请求 Host 必须是子域或主域，不能是 IP 或 localhost - 本地开发时用
localhost，Domain必须留空或删掉，否则浏览器直接拒收 - 若用了
Secure: true，但本地用 HTTP 启动 → Cookie 不写入，且无错误提示，容易卡在“明明设了却读不到”
复杂点在于：一旦 Domain 设错，浏览器不会报错，只是静默丢弃。最稳的验证方式是打开 DevTools → Application → Cookies，看对应域名下是否有目标 Cookie 条目。
