beego中session与cookie需正确配置以避免安全风险：必须启用httponly和secure、禁用memory存储而选用redis等后端、类型断言需加ok判断、中文cookie需url编码、删除cookie需设空值过期。
Beego 中 Session 和 Cookie 不是“用不用”的问题，而是“怎么配才不踩坑”的问题。默认配置下，Session ID 存在 Cookie 里、过期时间设为 3600 秒、后端用 memory 存储、cookie 未标记 HttpOnly 和 Secure —— 这些组合在生产环境等于裸奔。
Session ID 泄露风险：Cookie 默认没加 HttpOnly 和 Secure
Beego 的 SetSession 不直接控制 Cookie 属性，真正起作用的是底层 session manager 初始化时的配置。如果你只开了 sessionon = true，那生成的 session cookie 默认既没 HttpOnly 也没 Secure，JS 可读、HTTP 明文传输，XSS 或中间人攻击下 Session ID 分分钟被窃取。
必须显式配置：
- 在
app.conf中加：sessioncookiehttponly = true、sessioncookisecure = true（后者仅限 HTTPS 环境） - 代码中初始化时传入 JSON 配置（如用
session.NewManager）需包含："secure": true、"httpOnly": true - 若用 Beego 内置 session（非独立
beego/session包），sessioncookiehttponly是有效配置项；但sessioncookisecure在较老版本（v1.12 之前）可能被忽略，建议升级到 v2+ 或手动 patch
Session 存储选 memory？别在生产环境这么干
memory 引擎看起来简单，但它本质是进程内 map，重启服务、多实例部署、负载均衡都会导致 Session 失效或错乱。哪怕单机部署，内存泄漏或 GC 压力大时也可能提前清理掉活跃 Session。
推荐方案按优先级排序：
- Redis：最常用，支持过期自动清理、高并发读写、主从容灾；配置
provider = redis+providerconfig = "127.0.0.1:6379,0,astaxie" - MySQL：适合已有 DB 运维体系、需要审计日志的场景；注意加索引到
session_id字段，否则查询变慢 - Cookie：仅限低敏感数据（如语言偏好），且必须开启
sessionprovider = cookie并配sessionkey加密密钥，否则明文存储等同于把 Session 数据全扔给前端
别碰 file 引擎：文件锁竞争严重，IO 成瓶颈，且跨机器无法共享。
GetSession 返回 interface{}，类型断言失败是静默的
c.GetSession("user_id") 返回 interface{}，如果存的是 int64，取的时候直接 .(*User) 或 .(string) 会 panic。更糟的是，Beego 不做运行时类型校验，错误只在后续逻辑崩掉时才暴露。
安全写法只有两种：
- 用类型断言 + ok 判断：
if uid, ok := c.GetSession("user_id").(int64); ok { ... } - 统一存字符串，业务层自己转：
c.SetSession("user_id", strconv.FormatInt(id, 10))，取时再strconv.ParseInt
尤其注意：DelSession 不会清空已获取的本地变量，GetSession 后改了值但没 SetSession，下次请求仍是旧值 —— Session 是服务端状态，不是客户端缓存。
Cookie 中文值乱码、超长被截断、路径不匹配
c.Ctx.SetCookie("name", "张三", 3600, "/") 看似正常，实际浏览器收到的是乱码，因为 Beego 默认不编码，而 HTTP Header 要求 ASCII。另外，单个 Cookie 超过 4KB 会被浏览器静默丢弃，路径 /admin 下设的 Cookie 在 /api 请求里根本不会发。
关键动作：
- 中文必须 URL 编码：
url.PathEscape("张三")存，url.PathUnescape取 - 敏感信息别塞 Cookie，比如 token、权限列表 —— 即使加密也建议放 Session，Cookie 太容易被篡改
- 设置路径时严格匹配前缀：
c.Ctx.SetCookie("auth", token, 3600, "/")（根路径）比"/user"更稳妥，除非你明确要隔离 - 删除 Cookie 实际是设空值 + 过期：
c.Ctx.SetCookie("auth", "", -1, "/")，不能只靠DelSession
Session ID 本身是随机字符串，但它的载体（Cookie）和存储后端（Redis/MySQL）才是真正的防线。漏掉任一环，比如忘了 HttpOnly 或 Redis 没设密码，整个会话安全就归零。
