Go中Cookie管理需用http.SetCookie设置和r.Cookie()获取，自动编码/解码、支持HttpOnly/Secure/SameSite等安全属性，并注意Domain限制与删除机制。
在 Go 的 net/http 包中，Cookie 管理主要通过 http.SetCookie 设置和 r.Cookies() 或 r.Cookie(name) 获取实现。核心在于理解 Cookie 是 HTTP 响应头（Set-Cookie）和请求头（Cookie）中的文本字段，Go 提供了结构化封装来安全操作。
使用 http.SetCookie 设置 Cookie
不能直接拼接字符串写入响应头，必须用 http.SetCookie —— 它会自动编码值、生成合法的 Set-Cookie 头，并处理特殊字符、过期时间格式等细节。
- 创建
http.Cookie结构体实例，至少指定Name和Value -
Value会自动被 URL 编码（如空格变%20），无需手动调用url.QueryEscape - 设置
Expires（绝对时间）或MaxAge（秒数）控制有效期；两者都未设则为会话 Cookie（浏览器关闭即失效） - 敏感 Cookie 应设置
HttpOnly: true（防 XSS 读取）、Secure: true（仅 HTTPS 传输）、SameSite（防 CSRF）
示例：
cookie := &http.Cookie{
Name: "session_id",
Value: "abc123xyz",
Path: "/",
Domain: "example.com", // 注意：localhost 不支持 Domain，留空或设为 ""
MaxAge: 3600,
HttpOnly: true,
Secure: true, // 开发时若无 HTTPS，可临时设 false
SameSite: http.SameSiteLaxMode,
}
http.SetCookie(w, cookie)
从请求中获取 Cookie
客户端发起请求时，浏览器自动在 Cookie 请求头中携带匹配的 Cookie 字符串（如 session_id=abc123xyz; theme=dark）。Go 自动解析并提供两种常用方式：
立即学习“go语言免费学习笔记（深入）”；
-
r.Cookie("name")：返回单个 *http.Cookie，如果不存在则返回nil, ErrNoCookie -
r.Cookies()：返回所有 Cookie 的[]*http.Cookie切片（按请求头中出现顺序）
使用示例：
cookie, err := r.Cookie("session_id")
if err == http.ErrNoCookie {
// Cookie 未携带，可能需跳转登录
http.Redirect(w, r, "/login", http.StatusFound)
return
}
if err != nil {
http.Error(w, "读取 Cookie 失败", http.StatusBadRequest)
return
}
fmt.Println("值:", cookie.Value) // 自动 URL 解码，无需手动处理
注意安全性与常见陷阱
Cookie 看似简单，但误用易引发安全问题或行为异常：
- 不要用 Cookie 存储敏感信息（如密码、token 明文），应存服务端 session ID 并配合签名/加密校验
- 设置
Domain时，本地开发用localhost无法设置带 Domain 的 Cookie（浏览器策略限制），建议开发时留空 - 多个同名 Cookie（不同 Path/Domain）可能共存，
r.Cookie(name)返回第一个匹配的，不保证是你要的那个 - 修改 Cookie 时，必须用相同
Name、Path、Domain参数重新调用http.SetCookie才能覆盖 - 删除 Cookie：设置
MaxAge: 0或Expires: time.Unix(0, 0)，并确保Path和Domain与原设置一致
进阶：签名与加密 Cookie（推荐用于轻量状态）
若需让 Cookie 自包含且防篡改（如“记住我”功能），不应自己实现加解密，而应使用成熟库如 gorilla/securecookie 或 golang.org/x/crypto/nacl/secretbox。例如：
- 用
securecookie对值签名 + 可选加密，再塞进普通 Cookie - 服务端只验证签名有效性，不依赖后端存储，降低状态耦合
- 避免手写 Base64 或简单 XOR —— 安全性无保障
基本上就这些。Cookie 管理本身不复杂，但细节决定是否健壮和安全。用对 http.SetCookie 和 r.Cookie，再守住安全边界，就够日常用了。
