中间件中读写 cookie 必须用 ctx.request().cookie 和 ctx.setcookie，不可依赖 getcookie 或 setcookiekv 的默认行为——因中间件执行时上下文未进入完整路由生命周期，部分方法会静默失败；读取需手动解析原始 *http.cookie 对象并校验 err；设置必须显式指定 httponly、secure、samesite、path 等参数；更新前须先 removecookie 并配对 path/domain/secure；加解密须复用 session 实例绑定的 encoder，且中间件注册顺序须紧邻 session 初始化之后。
中间件里读写 Cookie 必须用 ctx.Request().Cookie 和 ctx.SetCookie，不能依赖 ctx.GetCookie 或 ctx.SetCookieKV 的默认行为——因为中间件执行时上下文尚未进入完整路由生命周期，部分封装方法会静默失败或忽略配置。
中间件中读取 Cookie 要手动解析，别直接调 ctx.GetCookie
在自定义中间件（比如鉴权、日志、灰度路由）里，ctx.GetCookie("session_id") 可能返回空字符串，即使请求头里确实带了该 Cookie。原因是 GetCookie 内部做了额外校验（如 SameSite 匹配、Secure 标志检查），而中间件早于路由匹配执行，某些上下文字段未就绪。
- 安全做法是直接从
ctx.Request().Cookie获取原始*http.Cookie对象，再取.Value - 若需解密（比如用了
CookieEncode），必须手动调用iris.CookieDecode函数，传入 cookie 值和 session 实例的 encoder - 注意：
ctx.Request().Cookie("name")会 panic 如果 cookie 不存在，要用err != nil判断
ctx.SetCookie 在中间件里必须显式指定所有关键参数
中间件中调 ctx.SetCookie 设置响应 Cookie 时，如果只传 name/value，浏览器很可能收不到——因为默认不设 HttpOnly、Secure、SameSite，现代浏览器会拒绝存储。
- 必须至少带上
iris.CookieHTTPOnly(true)和iris.CookieSecure(true)（HTTPS 环境下） - 跨站表单提交场景下，
iris.CookieSameSite(http.SameSiteLaxMode)是底线，Strict会阻断大部分跳转 - 路径要明确：
iris.CookiePath("/")，否则子路径（如/api/user）发的请求可能拿不到根路径设的 Cookie - 不要依赖
SetCookieKV，它内部硬编码了MaxAge: 0，等价于会话级 Cookie，无法持久化
中间件里修改 Cookie 前要先清除旧值
想在中间件里“更新”一个已存在的 Cookie（比如刷新过期时间、变更 HttpOnly 标志），不能只调一次 SetCookie。浏览器会保留旧 Cookie 直到过期，新旧并存可能导致逻辑混乱。
- 正确做法是先用
ctx.RemoveCookie("name")清除，再用ctx.SetCookie重设 -
RemoveCookie本质是发送一个 Max-Age=0 的同名 Cookie，所以也要配对设置Path和Domain，否则清除无效 - 如果原 Cookie 设了
Secure，清除时也得加iris.CookieSecure(true)，否则浏览器认为是不同 Cookie
加密 Cookie 在中间件里要复用同一套 encoder
Iris 的 CookieEncode/CookieDecode 不是全局单例，而是绑定在每个 sessions.Sessions 实例上的。如果你在中间件里手动加解密，但没用和 session 管理器相同的 encoder，就会出现“前端传来的加密 Cookie，中间件解不出来”的问题。
- 初始化 session 时注册的 encoder（如 AES 加密函数）必须导出为变量，供中间件复用
- 解码失败时
CookieDecode返回 error，但ctx.GetCookie会静默吞掉——所以中间件里务必检查 error，而不是只看返回值是否为空 - 别在中间件里 new 一个临时 encoder，密钥或 IV 不一致会导致全量失效
最易被忽略的是：中间件顺序决定 Cookie 是否可见。如果鉴权中间件放在 session 中间件之前，ctx.Request().Cookie 能读到原始值，但 sess.Start(ctx) 还没执行，session 数据不可用；反之，如果放太后面，可能已经错过修改响应头的时机。务必把 Cookie 相关中间件紧挨着 session 初始化之后注册。
