buffalo 中 c.setcookie() 无法真正删除 cookie，因其底层依赖 http.setcookie() 且不校验原始 cookie 属性；必须手动构造 set-cookie 头，严格匹配 path、domain、secure、httponly、samesite，并设 expires 为过去时间（如 thu, 01 jan 1970 00:00:00 gmt）与 maxage=0。
Buffalo 中不能用 c.SetCookie() 删除 Cookie，必须手动构造 Set-Cookie 响应头并设 Expires 为过去时间。因为 c.SetCookie() 是写入 Cookie 的封装，不支持“清除”语义；它会忽略 MaxAge: -1 或空值，最终仍可能留下旧 Cookie。
为什么 c.SetCookie() 无法真正删除 Cookie
Buffalo 的 c.SetCookie() 底层调用的是 http.SetCookie()，但该函数对 MaxAge: -1 的处理依赖于客户端实现，且 Buffalo 未做兼容性兜底。更关键的是：如果原 Cookie 带了 Secure、HttpOnly 或 SameSite 属性，而你调用 c.SetCookie() 时没显式复现这些属性，浏览器会认为这是**另一个不同 Cookie**，旧 Cookie 依然有效。
常见错误现象：document.cookie 里还看得到同名键；服务端后续 c.Cookies().Get("session_id") 仍能取到值；登录态未退出。
- 必须确保删除时的
Path、Domain、Secure、HttpOnly、SameSite与当初设置时完全一致 - 不能只靠
MaxAge: -1，必须同时设Expires为一个明确的过去时间（如time.Unix(0, 0)） - Buffalo 的
c.Response().Header().Set()是唯一可控出口，绕过所有中间件和自动封装逻辑
正确删除 Cookie 的三步手写法
在控制器中，例如 LogoutHandler 里，按顺序执行：
- 先调用
c.Cookies().Delete("auth_token")—— 这只是清理 Buffalo 内部缓存，不影响响应 - 再手动构造标准
Set-Cookie字符串："auth_token=; Path=/; Domain=example.com; Expires=Thu, 01 Jan 1970 00:00:00 GMT; Max-Age=0; HttpOnly; Secure; SameSite=Lax" - 最后用
c.Response().Header().Set("Set-Cookie", rawCookieString)直接注入响应头
注意：Domain 必须带点号前缀（如 .example.com）才能覆盖子域名；若原始 Cookie 没设 Domain，这里也别加，否则无效。
如何安全获取原始 Cookie 的属性用于反向删除
Buffalo 不提供“读取已设置 Cookie 元信息”的 API。所以你得自己维护一份注册表，或统一约定默认策略：
- 所有登录态 Cookie 统一设
Path="/"、HttpOnly=true、Secure=true（HTTPS 环境）、SameSite=Lax - 在
app.go初始化时，把这套配置存为常量，例如var AuthCookieOpts = &http.Cookie{Path: "/", HttpOnly: true, Secure: true, SameSite: http.SameSiteLaxMode} - 删除时直接复用该结构体生成过期字符串：
cookie := &http.Cookie{Name: "auth_token", Value: "", Expires: time.Unix(0, 0), MaxAge: 0}; cookie.Path = AuthCookieOpts.Path; ...，再用http.Cookie.String()输出
不要试图从 Request.Header["Cookie"] 解析原始属性——它不包含 Domain、Secure 等元数据，只传值。
最易被忽略的一点：反向代理（如 Nginx）或 CDN 可能缓存了带旧 Set-Cookie 头的响应。删除操作上线后，务必确认响应中 Set-Cookie 的 Expires 时间戳是格林威治时间且格式严格为 RFC 1123（含英文星期和月份缩写），否则某些代理会拒绝解析并透传旧 Cookie。
