http.setcookie和r.cookie是go标准库核心，fiber仅封装；手动拼set-cookie头会因未编码、maxage格式错、多cookie未分头而失效，且删除cookie须严格镜像原始path/domain/secure/samesite参数。
http.SetCookie 和 r.Cookie 是底层核心，Fiber 只是封装了一层薄薄的语法糖——别被 ctx.Cookies() 或 ctx.Cookie() 带偏，先搞清标准库行为，再看 Fiber 怎么映射。
为什么不能用 ctx.Request().Header.Set("Set-Cookie", ...)
手动拼接 Set-Cookie 头会直接失效，浏览器静默丢弃，常见三类问题：
-
cookie.Value里有空格、中文、=、;？没 URL 编码 → 浏览器截断值 -
MaxAge写成字符串"3600"或带单位"1h"？Chrome/Firefox 忽略整条头 - 想设两个 Cookie，用分号连成一个字符串？RFC 6265 要求每个
Set-Cookie是独立响应头，手拼=单个非法头
Fiber 的 ctx.Cookie() 和 ctx.Cookies() 本质调用的是标准库 r.Cookie() 和 r.Cookies()；但写入必须走 http.SetCookie，Fiber 的 ctx.Cookie(name, value, ...) 方法内部也封装了它——所以你仍得传合法的 MaxAge int、注意 Path 匹配、不能漏 SameSite。
ctx.Cookie() 的 err 判断必须区分 http.ErrNoCookie
这是最常踩的坑：把“没 Cookie”和“Cookie 损坏”混为一谈。
错误写法：
cookie, err := ctx.Cookie("session_id")
if err != nil {
ctx.Status(401).SendString("未登录")
return
}
这会让 base64 解码失败、超长、或字段解析异常也跳 401，掩盖真实服务问题。
正确判断要拆开：
- 如果是
err == http.ErrNoCookie：用户首次访问 / 清除了 Cookie /Path不匹配 → 跳登录页合理 - 如果是其他
err（比如invalid base64）：记录日志，返回 500，不该让用户重试
Fiber 没改标准库语义，ctx.Cookie("name") 返回的 err 就是原生 http.Cookie 解析结果。
在 Go 中使用 google/wire 实现编译时依赖注入——wire.NewSet、wire.Build、wire.Bind（接口→实现）、wire.Struct、wire.Value、wire.Interface
删除 Cookie 必须镜像原始 Path/Domain/Secure/SameSite
只设 MaxAge: 0 不够。浏览器按五元组（Name + Path + Domain + Secure + SameSite）匹配旧 Cookie 才覆盖。
举例：
- 当初用
Path: "/admin"设置的，删的时候也得传Path: "/admin"；写成"/"就删不掉 - 开发时用了
localhost，千万别设Domain: "localhost"—— 浏览器至今（2026年9月）仍拒绝存储 - 如果原 Cookie 设了
Secure: true，删的时候也得带Secure: true，否则 HTTPS 下无效
Fiber 的 ctx.ClearCookie("name", opts...) 本质仍是构造 http.Cookie{MaxAge: 0, ...} 并调 http.SetCookie，参数漏一个，就白清。
Fiber 中设置 HttpOnly/Secure/SameSite 的实际参数组合
安全不是加个 HttpOnly: true 就完事。这几个字段互相影响，尤其在本地开发 vs 生产部署时：
-
Secure: true在 HTTP 环境下会彻底禁用 Cookie（浏览器无视），开发时建议用配置开关，或只在https://请求中启用 -
SameSite推荐按场景选：Lax（防 CSRF 且兼容大多数跳转）、Strict（更严但可能破坏 OAuth 流程）、None（必须配Secure: true，且 Chrome 要求__Host-前缀） -
HttpOnly: true是底线，防止 XSS 直接读取document.cookie，但不影响 JS 发起带 Cookie 的 fetch
示例（生产环境 Session Cookie）：
ctx.Cookie(&fiber.Cookie{
Name: "session_id",
Value: "abc123",
Path: "/",
MaxAge: 3600,
HttpOnly: true,
Secure: true,
SameSite: "Lax",
})
注意：SameSite 字段值必须是字符串字面量 "Lax"，不是 fiber.SameSiteLaxMode —— Fiber v2.50+ 才支持枚举，老版本直接传字符串。
真正容易被忽略的点：Fiber 的 Cookie 方法不校验 Domain 合法性，也不拦截 Secure: true 在 HTTP 下的调用。这些得靠你自己的中间件或部署检查兜底。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
