gorilla/sessions.newcookiestore必须传两个密钥，因默认强制启用签名+加密双机制：authkey（≥32字节，hmac-sha256防篡改）和enckey（32字节，aes-256防泄露），缺一则导致敏感数据明文暴露。
gorilla/sessions.NewCookieStore 为什么必须传两个密钥
因为 NewCookieStore 默认启用签名+加密双机制，不是可选功能，而是强制安全模型。只传一个字节切片（如旧文档里写的 NewCookieStore([]byte("key"))）会退化为仅签名、无加密，导致 session.Values 里的数据明文暴露在 Cookie 中——浏览器开发者工具里一眼就能看到 user_id、role 等字段。
正确做法是显式传入两个独立密钥：
-
authKey：用于 HMAC-SHA256 签名，防篡改；长度至少 32 字节 -
encKey：用于 AES-256 加密，防泄露；长度必须为 32 字节 - 两者都应从环境变量加载，绝不可硬编码在代码里
常见错误现象：http: named cookie not present 或解出的 session.Values 是空 map，往往是因为密钥长度不对或类型混淆（比如把 string 直接转 []byte 导致含不可见字符）。
session.Save(r, w) 报 http: multiple response.WriteHeader calls 怎么办
这个错误不是 session 本身的问题，而是你调用了 session.Save(r, w) 之后，又写了其他响应（比如 http.Redirect、json.NewEncoder(w).Encode(...) 或任何先写 header 的操作）。session.Save 内部会调用 http.SetCookie，而后者会触发 WriteHeader —— HTTP 响应头只能写一次。
解决办法只有两个：
- 确保
session.Save(r, w)是 handler 中最后一个可能写响应的操作 - 如果要重定向，必须在
Save之后立即return，不能继续执行后续逻辑 - 不要在中间件里自动调用
Save；gorilla/sessions 不提供“自动保存”机制，必须显式控制时机
典型翻车场景：登录成功后先 session.Save，再 http.Redirect(w, r, "/home", http.StatusFound) —— 这个 redirect 会自己写 header，冲突就发生了。
Redis 存 session 时 Values 变成 map[interface{}]interface{} 怎么办
这是因为 gorilla/sessions 默认用 gob 编码存 Redis，而 gob 对 struct 字段有严格要求：必须导出（首字母大写）、不能含未导出字段、不能有循环引用。一旦你往 session.Values 里塞了自定义 struct 或匿名 map，gob 解码就会失败，返回 map[interface{}]interface{} 或直接 panic。
最稳的解法是统一用 JSON 序列化：
- 不用
NewRedisStore，改用redis.NewPool+ 自定义Store实现 - 或者更简单：所有写入
session.Values的值，提前json.Marshal成[]byte，读取时再json.Unmarshal - 尤其注意：
time.Time、uuid.UUID等类型，gob 能认，但 JSON 需要自定义 marshaler，否则序列化成空对象
另一个隐藏坑：MaxAge 设为 0 表示“会话级 Cookie”，但 Redis 的过期时间必须显式设置（比如 SetEx），否则数据永远不删。服务端和存储层的过期策略必须对齐，否则用户登出后 Cookie 还在，但 Redis 里 session 已被清掉，造成“假失效”。
HttpOnly 和 Secure 选项设错会导致什么
HttpOnly: true 没设，XSS 攻击者可以用 document.cookie 直接读走 session ID；Secure: true 在 HTTP 环境下设了，浏览器直接拒收 Cookie，导致每次请求都生成新 session —— 用户永远登不上。
生产环境必须按环境开关：
- HTTPS 环境：
Secure: true、HttpOnly: true、SameSite: http.SameSiteStrictMode（防 CSRF） - 本地开发（HTTP）：
Secure: false，但HttpOnly仍建议为 true（防本地 XSS） -
Path别设成/admin这种子路径，否则根路径下的 JS 无法读取，前端路由跳转后状态丢失
最容易被忽略的一点：SameSite 默认是 http.SameSiteDefaultMode，但现代浏览器（Chrome 120+）已将其视为 Lax，若你的登录流程涉及跨域 iframe 或 POST 重定向，必须显式设为 Strict 或 Lax 并验证行为。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
