在 Go 中通过 http.SetCookie 删除 Cookie 时，必须同时设置正确的 Path、负值 MaxAge 和过去时间的 Expires，否则浏览器可能忽略过期指令而保留 Cookie。
在 go 中通过 `http.setcookie` 删除 cookie 时，必须同时设置正确的 `path`、负值 `maxage` 和过去时间的 `expires`，否则浏览器可能忽略过期指令而保留 cookie。
要使浏览器真正删除（即“过期”）一个已存在的 Cookie，不能仅依赖 MaxAge: -1 或 Expires: time.Now() 单一手段——因为不同浏览器对 Cookie 过期机制的支持存在差异：部分旧版浏览器（如某些 IE 版本）完全忽略 Max-Age 字段，仅认 Expires；而另一些浏览器（尤其是严格遵循 RFC 6265 的现代实现）则优先采用 Max-Age，且要求其显式为负数才触发删除逻辑。更重要的是，Cookie 的匹配与覆盖是路径敏感的：若登录时设置 Cookie 的 Path 为 /，而登出时未显式指定相同 Path，浏览器会将其视为一个全新、独立的 Cookie，自然无法覆盖或清除原有项。
因此，正确的登出 Cookie 清除逻辑应如下所示：
func Logout(w http.ResponseWriter, r *http.Request) {
ctx := appengine.NewContext(r)
url, err := user.LogoutURL(ctx, "/")
if err != nil {
http.Error(w, err.Error(), http.StatusInternalServerError)
return
}
// ✅ 关键：显式指定 Path（必须与 SetCookie 时一致），MaxAge = -1，并设置远过去的 Expires
expiredCookie := &http.Cookie{
Name: COOKIE_ID,
Value: "", // 可选，但清空值更稳妥
Path: "/", // 必须匹配原始设置路径
MaxAge: -1, // 强制立即过期（RFC 兼容）
Expires: time.Unix(0, 0), // Unix 纪元时间（1970-01-01），确保绝对过去
HttpOnly: true, // 若原 Cookie 含 HttpOnly，此处也应保持一致
Secure: r.TLS != nil, // 根据部署环境匹配 Secure 属性
}
http.SetCookie(w, expiredCookie)
w.Header().Set("Location", url)
w.WriteHeader(http.StatusFound)
}
⚠️ 注意事项：
- Path 必须与创建 Cookie 时完全一致（例如 /、/auth、/api），否则浏览器不会将其识别为同一 Cookie；
- MaxAge: 0 表示“不设置 Max-Age 属性”，等同于不发送该字段，不会导致删除；只有 MaxAge
- Expires 建议设为明确的过去时间（如 time.Unix(0, 0) 或 time.Now().Add(-24 * time.Hour)），避免因客户端时钟偏差导致失效延迟；
- 若原始 Cookie 设置了 HttpOnly、Secure 或 SameSite 等属性，登出时应保持一致，否则部分浏览器可能拒绝覆盖；
- 在调试阶段，可通过浏览器开发者工具（Application → Cookies）实时验证 Cookie 是否被成功清除，而非仅依赖 document.cookie（它不可见 HttpOnly Cookie）。
综上，Cookie 删除失败几乎总是源于路径不匹配或过期参数不符合跨浏览器规范。坚持「显式 Path + 负 MaxAge + 过去 Expires」三要素组合，即可稳定、可靠地实现登出时的 Cookie 清理。
