退出时使Cookie立即失效需用同名同域且MaxAge=0、Value=""的新Cookie覆盖，关键在于Path、Domain、Secure等所有属性严格匹配原始写入值，否则浏览器视为新Cookie；同时须先销毁服务端Session再覆盖客户端Cookie。
退出登录时让 Cookie 立即失效，关键不是“删掉它”，而是用一个同名、同作用域、但 MaxAge=0 且 Value="" 的新 Cookie 覆盖它——浏览器收到后会当场丢弃旧值。
为什么 c.SetCookie() 设了 MaxAge=0 还没消失？
根本原因是新 Cookie 的 Path、Domain、Secure、HttpOnly、SameSite 与原始写入时不一致。浏览器不认为这是“覆盖”，而是存了一个新 Cookie。
- 原始写入用了
Path="/admin"，删除时却传Path="/"→ 失败 - 上线用了
Domain=".example.com"，本地调试删时留空或填"localhost"→ 失败 - 原始 Cookie 是
Secure=true（HTTPS），退出接口走 HTTP 却仍设Secure=true→ 浏览器直接忽略该Set-Cookie头 - 前端曾用
document.cookie写入，没设HttpOnly，但后端删除时设了HttpOnly=true→ 不匹配，无法覆盖
退出 handler 里怎么写才真正生效？
必须显式构造一个 *http.Cookie，所有字段严格对齐原始写入逻辑，仅修改三处：
-
Value设为""（空字符串，不能是nil） -
MaxAge设为0（不是-1，也不是time.Duration） -
Expires设为任意过去时间戳，例如time.Unix(1, 0)
示例：
cookie := &http.Cookie{
Name: "session_id",
Value: "",
Path: "/",
Domain: ".example.com",
MaxAge: 0,
Expires: time.Unix(1, 0),
HttpOnly: true,
Secure: true,
SameSite: http.SameSiteLaxMode,
}
c.SetCookie(cookie)
⚠️ 注意：Domain 开头的点（".example.com"）必须和登录时一致；开发时若用 127.0.0.1，这里就不能写 "localhost"。
如何确保退出时 Session 和 Cookie 同步失效？
Cookie 是客户端凭证，Session 是服务端状态，两者不同步就会出现“Cookie 还在，但查不到 Session”的登出失败现象。
- 退出 handler 中，先调用
sess.Destroy()或等效操作清空后端存储（如 Redis key） - 再执行上面的
c.SetCookie()覆盖 Cookie - 别漏掉：如果登录时设置了
MaxAge为 3600，那 Session 后端 TTL 也必须 ≤ 3600，否则用户拿着有效 Cookie 却换不到 Session - 若用
gorilla/securecookie加密过 Cookie 值，退出时不用解密，直接覆盖原名即可——加密只影响值内容，不影响删除逻辑
真正难的不是写几行代码，而是你得知道当初登录时 SetCookie 的每个参数是什么。建议把 Cookie 配置抽成常量或配置项，退出逻辑复用同一套定义，避免手写两遍导致不一致。
