单体session在分布式部署下失效，因memstore为纯内存存储，各gin实例数据隔离；nginx轮询导致请求散落不同实例，session id无法匹配对应数据，用户刷新即401。
为什么单体 Session 在分布式部署下会失效
因为默认的 memstore 是纯内存存储，每个 Gin 实例维护一份独立的 Session 数据。当请求被 Nginx 轮询到不同后端实例时，session ID 对应的 session 数据在另一台机器上根本不存在——用户刚登录，刷新一下就 401，本质是“认不出自己了”。
必须用 Redis 存储 Session 数据
Redis 是最常用、最稳妥的分布式 Session 后端。它天然支持多实例共享、高并发读写、自动过期，且 gin-contrib/sessions 官方已封装好适配器。
- 安装依赖：
go get -u github.com/gin-contrib/sessions和go get -u github.com/go-redis/redis/v9 - 初始化 Redis 客户端（v9）后，传给
redis.NewStore，注意 key 长度必须是 32 字节（AES-256） - 示例关键代码：
store := redis.NewStore(redisClient, []byte("32-byte-secret-key-for-auth")) - 不建议用
cookie或memstore模式上线，前者明文存敏感数据，后者根本无法跨实例
Session 中间件注册和 Cookie 配置要点
光换存储不够，客户端 Cookie 必须能被所有后端节点识别和携带，否则 session ID 根本传不过来。
- Cookie 的
Domain必须统一（如".example.com"），不能写"localhost"或带端口 - 设置
Secure: true仅限 HTTPS 环境；开发环境若用 HTTP，需设为false，否则浏览器拒绝发送 - 务必开启
HttpOnly: true和SameSite: http.SameSiteLaxMode（防 XSS + CSRF 基础防线） - 中间件注册顺序不能错：Session 中间件必须在路由定义之前调用
r.Use(sessions.Sessions(...))
常见踩坑：Nginx 和前端跨域场景
即使后端全配对，Nginx 反向代理或前端跨域请求仍可能切断 Session 流水线。
- Nginx 需透传 Cookie：确认配置含
proxy_cookie_path / "/";和proxy_pass_request_headers on; - 前端 Axios 请求必须带
withCredentials: true，否则浏览器不发 Cookie - Chrome ≥80 默认对跨域请求启用
SameSite=Lax，若后端域名与前端不一致，需后端响应头显式设Set-Cookie: ...; SameSite=None; Secure（仅限 HTTPS） - Redis 连接超时或密码错误时，
sessions.Default(c)不报错但后续.Get()返回 nil，务必检查 Redis 日志和连接健康状态
真正难的不是写几行代码连 Redis，而是确保从浏览器 Cookie 发出、经 Nginx 透传、到 Gin 解析 Session ID、再到 Redis 查数据这一整条链路每个环节都对齐 Domain、Path、SameSite、Secure 这四个关键属性。漏一个，Session 就断在半路。
