浏览器不会主动删除过期Cookie，需服务端用c.SetCookie()显式设置MaxAge=0或Expires为过去时间，并确保Name、Path、Domain等属性与原Cookie完全一致才能可靠清除。
Cookie过期后浏览器不自动删除怎么办
浏览器只在发送请求时检查 Cookie 是否过期，不会主动清理已失效的本地存储。服务端无法强制浏览器删掉它，只能靠下次请求时被忽略——但若用户长期不访问，那些过期 Cookie 仍会滞留在浏览器里，占用空间、干扰调试、甚至在某些旧版客户端引发解析异常。
c.SetCookie() 必须显式设置过期时间
很多人以为只要不设 Expires 或 MaxAge，Cookie 就是会话级、关浏览器就消失。但 Echo 框架里漏设这两项，会导致写入的 Cookie 缺失有效期字段，浏览器按“会话 Cookie”处理；可一旦你后续又用 c.SetCookie() 写一个带 MaxAge=0 的同名 Cookie，才能真正触发删除逻辑。
-
MaxAge=0或Expires设为过去时间（如time.Now().Add(-1 * time.Second)）是唯一可靠的清除手段 - 不能只依赖
http.Cookie{MaxAge: 0}就完事——必须确保Name、Path、Domain三个字段与原 Cookie 完全一致，否则浏览器视为新 Cookie - 如果原 Cookie 是
Path="/admin"，清除时却写Path="/"，那它根本不会被覆盖或删除
如何批量清理一组失效 Cookie
没有“一键清空所有过期 Cookie”的 HTTP 协议机制，但你可以用中间件在每次请求前做兜底判断：读取所有 Cookie，对每个检查是否已过期（需自己解析 Expires 或计算 MaxAge 起始时间），再对过期的逐个调用 c.SetCookie() 覆盖。
- 注意：
c.Cookies()返回的是[]*http.Cookie，其中Expires字段是time.Time类型，但MaxAge是 int，二者互斥；实际判断应优先看MaxAge，为负数即过期，为 0 表示立即删除，为正数则结合创建时间算 - 别在中间件里直接删
sess.Values——那是 Session 数据，和 Cookie 无关 - 高频访问接口加这个逻辑影响不大，但登录页、首页这类低频入口建议跳过，避免无谓开销
开发阶段快速验证 Cookie 清理效果
手动清理最准，但效率低；自动化脚本容易漏配置。推荐组合使用：
- Chrome/Firefox 开发者工具 Application → Cookies 标签页，右键单条 Cookie 可直接 Delete
- 用
curl -v -b "name=xxx" http://localhost:8080/health测试是否还携带，比刷页面更可控 - 在 handler 里加日志：
if cookie, err := c.Cookie("auth_token"); err == nil { log.Printf("found auth_token: %v, expires: %v", cookie.Value, cookie.Expires) }
真正难的不是“怎么删”，而是删的时候 Path、Domain、Secure、HttpOnly 这些属性必须和写入时完全一致——少一个，浏览器就当它是另一个 Cookie。
