必须正确设置带安全属性的cookie并配合session机制实现登录状态持久化：setcookie需传全7参数，path设为"/"，domain按环境配置，secure与协议匹配，httponly设true；读取cookie需处理error；session用gorilla/sessions，密钥从环境变量读取，修改后必须save；删除cookie设maxage为-1，使session失效需清空values并设maxage=-1后save。
要在Gin应用中实现用户登录状态持久化、跨请求携带用户标识、防止重复登录校验，必须正确设置和读取Cookie，并配合Session机制维持会话上下文。直接硬编码写死值或忽略HttpOnly/Secure参数会导致XSS漏洞或HTTP环境失效。
设置带安全属性的Cookie
第一步：调用c.SetCookie()传入全部7个参数，缺一不可。name和value是必需字段，maxAge为0表示不设过期时间（浏览器关闭即失效），设为-1则立即删除该Cookie。
第二步：path必须填"/"，否则子路径无法继承该Cookie；domain在本地开发时填"localhost"，上线后必须改为实际域名，比如"example.com"，否则浏览器拒绝发送。
第三步：【secure参数必须与部署协议严格匹配】——开发环境用HTTP时设为false；生产环境启用HTTPS后必须设为true，否则浏览器丢弃该Cookie。
第四步：httpOnly务必设为true。这能阻止JavaScript读取敏感字段（如session_id），避免XSS攻击窃取凭证。若设为false，攻击者注入<script>document.<a style="color:#f60; text-decoration:underline;" title= "cookie"href="https://m.php.cn/zt/16004.html" target="_blank">cookie</script>即可获取全部Cookie内容。
读取并验证Cookie值
直接调用c.Cookie("key")获取指定名称的Cookie值，返回string和error两个值。
如果err不为nil，说明客户端未携带该Cookie，或浏览器因domain/path不匹配未发送——此时不能假设值为空字符串，必须显式处理错误分支。
注意：Cookie值是纯字符串，服务端需自行做类型转换（如int、bool）和合法性校验，Gin不做任何解析或过滤。
使用gorilla/sessions实现服务端Session
方法一：基于Cookie存储Session（轻量级，无需额外依赖）
① 初始化store：使用sessions.NewCookieStore([]byte("your-secret-key"))，密钥长度至少32字节，且【不可硬编码在代码中】，应从环境变量读取。
② 在Handler中获取session：session, _ := store.Get(c.Request, "session-name")
③ 写入数据：session.Values["user_id"] = 123 → session.Save(c.Request, c.Writer)。不调用Save()则所有修改丢失。
方法二：文件系统存储（适合开发调试）
替换store初始化为sessions.NewFilesystemStore("/tmp", []byte("your-secret-key"))，确保目录有写权限，否则Save()静默失败。
删除Cookie与使Session失效
删除Cookie只需将maxAge设为-1：c.SetCookie("auth_token", "", -1, "/", "localhost", false, true)。value可为空，但name必须与原设置一致，否则无效。
使Session失效需两步：先清除session.Values中所有键值对 → 再调用session.Options.MaxAge = -1 → 最后执行session.Save()。仅清空Values不等于登出。
