revel 的 session 和 flash 基于统一加密签名 cookie（revel_session），不支持单键过期或路径/域名控制；需用 response.setcookie() 手动设置原生 cookie 并自行管理读写逻辑。
Revel 中 session 和 flash 不是普通 Cookie，不能直接设 expires 或 domain
Revel 默认的 session 和 flash 都基于一个加密签名的 Cookie（key 为 REVEL_SESSION），它本质上是序列化后存进单个 Cookie 字符串的 map，**不支持单独设置每个键的过期时间或作用域**。你调用 c.Session.Set("key", "val") 或 c.Flash.Success("msg")，最终都打包进这个统一的、带签名的 Cookie 里。
所以如果你需要精确控制某个值的生命周期（比如 5 分钟后自动失效）或限定只在 /admin 路径下发送，session/flash 机制本身做不到——得绕开它们，用原生 HTTP Cookie。
用 Response.SetCookie() 手动写原生 Cookie
Revel 的 *revel.Response 是标准的 http.ResponseWriter 封装，支持直接调用底层 http.SetCookie()。这是唯一能精确控制有效期、路径、域名、SameSite 等字段的方式。
常见操作要点：
-
maxAge优先级高于expires：如果两个都设，浏览器以maxAge（秒数）为准；设为0表示“会话级”，关浏览器就删 -
Path必须显式指定：比如想让 Cookie 只在/api/v1下生效，就得写Path: "/api/v1"，不能依赖默认值 -
Domain带点前缀才跨子域：设为".example.com"才对app.example.com和www.example.com都有效；设成"example.com"可能被现代浏览器拒绝 -
Secure和HttpOnly建议按需开启：生产环境 HTTPS 必开Secure；存敏感标识（如 token）必开HttpOnly
示例（Go 代码）：
cookie := &http.Cookie{
Name: "auth_token",
Value: "abc123",
MaxAge: 300, // 5 分钟
Path: "/api",
Domain: ".myapp.com",
Secure: true,
HttpOnly: true,
SameSite: http.SameSiteStrictMode,
}
c.Response.SetCookie(cookie)
app.conf 只能全局调优 session，不能细化到单个字段
Revel 的 session.expires 配置项（单位是 time.ParseDuration 字符串，如 "24h"）只影响整个 REVEL_SESSION Cookie 的过期时间，它修改的是签名 Cookie 的顶层 Expires 字段，**不影响 session 内部任意 key 的语义存活期**。
也就是说：即使你把 session.expires 设成 "1m"，里面存的 "user_id" 和 "last_seen" 依然共存亡——你没法让前者活 1 小时、后者只活 10 秒。
容易踩的坑：
- 误以为
c.Session.Set("x", "y")后再调c.Session.Clear()就能局部清理——实际是清空全部 - 在开发环境没开 HTTPS 却设了
Secure: true，导致 Cookie 根本不下发 - 用
localhost测试时填了Domain: "localhost"，但浏览器要求Domain至少含一个点（如"127.0.0.1"或留空）
读取原生 Cookie 要绕过 Session 解析逻辑
Revel 的 c.Params.Cookies 只解析 REVEL_SESSION 和 REVEL_FLASH 这两个签名 Cookie，**不会自动解包你手动 set 的其他 Cookie**。
所以读取时必须自己从 http.Request 拿：
if cookie, err := c.Request.Cookie("auth_token"); err == nil {
token := cookie.Value
// 处理 token
}
注意：c.Request.Cookie() 返回的是 *http.Cookie，它的 Value 是原始字符串，没有自动解密或反序列化——这和 c.Session.Get() 完全不同。
复杂点在于：你既要手动写 Cookie，又要手动读；既不能混用 Session 逻辑，也不能指望框架帮你做校验。所有有效期、作用域、安全属性，都得你自己在写和读两端对齐。
