Echo 框架中 session 必须通过中间件注入，c 本身无 session 能力，未注册 session.Middleware() 就调用 session.Get() 会 panic 或返回 nil；需正确配置 Store、密钥、类型安全及过期协同。
Echo 框架里不能直接用 context 实现 Session —— Session 必须靠中间件注入，c 本身不带 session 能力，强行调用 session.Get() 会 panic 或返回 nil。
为什么 session.Get("key", c) 总是返回 nil 或 panic
常见错误是只导入包、没注册中间件就直接调用 session.Get()。Echo 自身不内置 Session 支持，echo-contrib/session 提供的 session.Get() 依赖 session.Middleware() 注入的上下文数据。没走中间件，c 就没有 session.ContextKey 对应的值。
- 中间件必须在
e.Use(...)中注册，且要在所有路由定义 之前 - 忘记 import
"github.com/gorilla/sessions"会导致编译失败（sessions.NewFilesystemStore找不到） - 密钥长度不足 32 字节（如用
"123"）会触发crypto/aespanic，报错类似invalid key size - 存储后端未指定：只写
session.Middleware(nil)或漏传sessions.Store实例，运行时 panic
session.Middleware() 的三种常用 Store 配置差异
Store 决定 session 数据存在哪、怎么加密、是否跨进程共享。选错会导致登录态丢失、多实例不一致或安全风险。
-
sessions.NewCookieStore([]byte(key))：session 数据全存 Cookie 里（加密后），适合轻量、无服务端存储需求的场景；但受 4KB 限制，且敏感数据不宜明文存客户端 -
sessions.NewFilesystemStore(path, []byte(key))：数据落盘，单机可用；注意path目录需有写权限，重启不丢数据，但不适用于多实例部署 -
sessions.NewRedisStore(...)：需额外引入github.com/gomodule/redigo/redis或github.com/go-redis/redis/v8；支持水平扩展、自动过期、高并发，生产环境首选
无论哪种 Store，Options.Path 和 Options.MaxAge 必须在每次 session.Get() 后显式设置，否则使用默认值（MaxAge=0 表示浏览器关闭即失效）。
使用 Playwright 为 jimeng.jianying.com 管理浏览器会话，导入 cookies/localStorage 以自动化视频生成工作流，支持图片上传等功能
读写 sess.Values 时最易踩的类型与空值坑
sess.Values 是 map[string]interface{}，Go 不做运行时类型检查，但直接断言极易 panic。
- 读取前不检查 key 是否存在：
sess.Values["user_id"]返回nil，若直接.(string)会 panic - 正确写法：
if val, ok := sess.Values["user_id"]; ok { if id, ok := val.(string); ok { /* 安全使用 id */ } } - 写入时混用类型：同一 key 存过
int又存string，后续断言必失败；建议统一转成string或用结构体序列化存json.Marshal -
sess.Save(c.Request(), c.Response())必须显式调用，否则修改不会写入；它内部会调用c.SetCookie()，不能手动再设同名 Cookie
Cookie 与 Session 过期时间必须协同配置
Session 逻辑过期（MaxAge）和底层 Cookie 过期（Expires / MaxAge）不一致，会导致“用户已登出但 Cookie 还在”或“Cookie 已删但服务端 session 没清”。
- 推荐只设
sess.Options.MaxAge，让 gorilla/sessions 自动同步到 Cookie；避免同时设Expires和MaxAge，浏览器可能忽略后者 - Cookie 的
Domain必须匹配请求域名（如开发用localhost，线上用example.com），否则浏览器不携带 -
HttpOnly: true和Secure: true（HTTPS 环境下）必须开启，防止 XSS 窃取 Session ID
真正麻烦的不是写几行 session.Get()，而是密钥管理、Store 选型、类型安全、过期协同这四点——漏掉任一，上线后都会表现为“偶尔登出”“多人会话串号”或“500 panic”。
