必须显式调用 gorilla/sessions.newredisstore 初始化 store 实例，不能仅配置 redis.client 或混用 newcookiestore；keypairs 需全局一致，v9 客户端需自封装适配器，struct 字段须加小写下划线 json tag，redis key 应用 sessionid 而非 userid，写入必设 ttl，save 非原子操作需防并发覆盖。
gorilla/sessions.NewRedisStore 必须显式调用，不能只改连接地址
很多人以为只要把 redis.Client 配好、再在 Save 里手动往 Redis 写，session.Save(r, w) 就会自动走 Redis —— 完全错误。gorilla/sessions 的存储路径由初始化时传入的 Store 实例决定，一旦用了 sessions.NewCookieStore()，后续所有操作都落在内存 map 上，哪怕你同时用 client.Set 往 Redis 存了数据，session.Values 读出来永远是空。
必须检查初始化代码是否为：
store := sessions.NewRedisStore(client, keyPairs...)
而不是：
store := sessions.NewCookieStore() // ❌ 即使 client 已配置也无效
- keyPairs（签名/加密密钥）需所有服务实例完全一致，否则 Cookie 解密失败 →
session.Values为空 - 若用
github.com/go-redis/redis/v9，需自行封装适配器；原生gorilla/sessions只兼容 v7 及更早版本 - 初始化后务必调用
client.Ping(ctx)验证连通性，避免静默失败
struct 字段必须加 json:"xxx" tag，别信“首字母大写就能导出”
session.Values 是 map[interface{}]interface{}，存进 Redis 前会经 json.Marshal 序列化。如果结构体字段没加 json tag，或大小写不匹配（比如字段名 UserID 期望 JSON 键为 "user_id" 却没写 `json:"user_id"`），json.Marshal 会直接跳过该字段，Redis 里存的是 {} 或全零值。
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
- 所有要持久化的字段，必须显式声明小写下划线风格的 tag：
UserID string `json:"user_id"` - 小写开头字段（如
userID）根本不会被导出，json包只处理首字母大写的可导出字段 - 存之前先
json.Marshal(session.Values)并打印日志，确认输出是{"user_id":"u123"}而非空对象 - 读取时用
json.Unmarshal([]byte(result.Val()), &s)，别用result.Scan(&s)—— 后者走二进制协议，不解析 JSON
Redis key 设计要支持精准清理，别用 "session:" + userID
用 "session:" + userID 当 key 看似直观，实则线上高危：用户登出、换设备、改密码时无法精准删除旧会话；KEYS session:user123* 是 O(N) 全库扫描，Redis 会被拖垮。
- Session ID 必须由服务端生成 UUID：
uuid.NewString()，key 统一格式为"sess:" + sessionID - 登录成功后额外写一条 hash：
HSET user_sessions:u123 sess:abc123 "2026-07-01T01:05:00Z" - 登出分三步：先
HKEYS user_sessions:u123获取所有 session key → 批量DEL sess:abc123 sess:def456→ 最后HDEL user_sessions:u123 - 每次
client.Set必须带 TTL：client.Set(ctx, key, val, 30*time.Minute)，漏掉就永不过期
并发写同一 session 会覆盖，Save() 不是原子操作
*sessions.Session 的 Values 是普通 map[interface{}]interface{}，非线程安全。两个 handler 同时调 session.Save(r, w)，后执行的会无条件覆盖前一次写入的 Redis 数据 —— 导致购物车状态丢失、登录态被冲掉。
- Redis 层必须用原子操作：推荐
GETSET或 Lua 脚本，避免“读-改-写”中间被覆盖 - 对登录动作本身加锁：用
SET sess:abc123 EX 300 NX，NX保证同一用户 5 分钟内只允许一次成功写入 - 别复用
*sessions.Session实例跨 goroutine，每个请求应有独立 session 实例 - 错误传播要显式处理：
store.Get()返回nil, err时，框架默认静默忽略，后续session.Values["xxx"]直接 panic；中间件里必须 wrap 并返回 500
最常被跳过的其实是序列化验证和 key 清理设计——不是连不上 Redis，而是 JSON 静默失败、或者登出时留了一堆永不过期的脏 key。这两点在线上压测阶段才暴露，但修复成本远高于初期约定好规范。
