go标准库无session管理，需用gorilla/sessions等第三方包；必须签名加密、服务端校验敏感数据、对齐cookie与存储过期时间、全局复用store、显式调用save、设httponly/secure/samesite、redis存struct优先json序列化、过期处理需前后端协同。
Go 标准库不提供开箱即用的 Session 管理，http.Cookie 只负责传输一个 ID（比如 session_id=abc123），真正的用户状态必须由你自行存储、校验和清理。
为什么 http.SetCookie 有时设不上
不是代码没调用，而是响应头已发送或属性不匹配导致浏览器直接丢弃。
- 必须在任何
w.Write、json.NewEncoder(w).Encode()或w.WriteHeader()之前调用http.SetCookie；一旦响应体开始写入，header 就被锁定 -
Domain字段不能带前导点（.example.com错，应写example.com）；本地开发用localhost时必须留空，填了反而失效 -
Path默认是请求路径的父路径（如请求/api/login，默认Path="/api"）；要全站生效，显式设为Path="/" -
Secure: true在 HTTP 环境下会让浏览器拒绝接收；开发时务必设为false，上线后强制true -
SameSite值必须是http.SameSiteStrictMode、http.SameSiteLaxMode或http.SameSiteNoneMode（注意大小写和拼写），写成"lax"或"None"会导致整个 Cookie 被忽略
gorilla/sessions 是最稳妥的 Session 方案
它封装了签名、加密、CSRF 防护和多后端支持，且不依赖 Web 框架，纯 net/http 即可使用。
Session Reset
下载
安全地重置 OpenClaw agent sessions，支持备份、预览、恢复和批量操作。用于：1) 清理过期的 agent 会话上下文，2) 重置特定 agents 的 session，3) 批量重置六部/秘书 sessions，4) 查看和恢复历史备份。当用户需要"reset session"、"清理 se...
- 初始化
Store时密钥至少 32 字节：cookieStore := sessions.NewCookieStore([]byte("your-32-byte-secret-key"))；硬编码或长度不足会静默降级或报错 - 只在 Session 数据真正修改后才调用
session.Save(r, w)；无条件调用会重置 MaxAge，干扰用户预期 - 读取值必须类型断言：
if uid, ok := session.Values["user_id"].(int64); ok { ... }；直接取session.Values["user_id"]是interface{}，不转就 panic - 删除键用
delete(session.Values, "token")，不是session.Values["token"] = nil—— 后者仍会序列化进 Cookie
Redis 存储 Session 必须手动对齐 TTL
gorilla/sessions 的 MaxAge 只控制客户端 Cookie 过期，不影响 Redis 中的数据生命周期。
- 用
redisstore.NewRedisStore()时，每次Save需显式设置过期：store.Options = &sessions.Options{MaxAge: 3600}，同时 Redis 写入时也要带 TTL（如SETEX sess:abc123 3600 {...}） - 务必给所有 Session 键加统一前缀（如
sess:），否则和业务键冲突，也难批量清理 - 数据库方案中
expires_at字段必须存 UTC 时间，查询时用WHERE expires_at > NOW() AT TIME ZONE 'UTC'，否则时区错位导致“查不到未过期 session” - 服务重启后内存 Session 全丢，但 Redis 里残留的旧 ID 仍有效——这不是 bug，是设计使然；需靠原子写（如
SET key val EX 3600 NX）防 ID 冲突
真正容易被忽略的是：Session ID 轮换不是可选项，而是登录成功后的强制操作；http.SetCookie 不等于“设了个安全凭证”，它只是个运输通道——安全靠的是服务端存储的不可篡改性、ID 的密码学随机性，以及前后端属性（HttpOnly、Secure、SameSite）的严格匹配。
