必须用 c.Cookie() 读取 Cookie，不可直接调用 req.Cookies()；设 Cookie 需传 *http.Cookie 实例，Domain 不支持 localhost；Session 与 Cookie 过期需同步；取值前须判空并类型断言；中间件须在路由前注册。
Cookie 读取必须用 c.Cookie()，别碰 http.Request.Cookies
直接调用 req.Cookies() 会绕过 Echo 的上下文封装，导致读不到框架自动解析的 Cookie（比如被中间件修改或加密过的），还可能因并发访问 req.Header 引发 panic。正确方式只有一条：用 c.Cookie("name")。
常见错误现象：
-
c.Cookie("token")返回http.ErrNoCookie，但浏览器 DevTools 明明看到该 Cookie 存在 → 检查域名、路径、Secure/HttpOnly是否匹配，尤其开发时 localhost 和 127.0.0.1 被视为不同域名 - 读取多个 Cookie 时循环遍历
c.Cookies()，但部分 Cookie 缺失 → 确认是否设置了SameSite属性（如SameSite=Strict在跨站请求中会被浏览器丢弃）
c.SetCookie() 必须传 *http.Cookie，不是键值对
不能写成 c.SetCookie("theme", "dark", 3600, "/", "example.com", true, true) —— 这是 PHP 或某些旧框架的习惯，Echo 不接受这种参数列表。你必须先构造一个 *http.Cookie 实例。
关键点：
- 用
new(http.Cookie)或字面量初始化，例如：cookie := &http.Cookie{Name: "session_id", Value: "abc123", MaxAge: 3600, Path: "/", Domain: "example.com", HttpOnly: true, Secure: true, SameSite: http.SameSiteLaxMode} -
Expires和MaxAge二选一即可；同时设可能导致某些浏览器忽略整个 Cookie - 设置
Domain时，若值为"example.com"，则子域（如api.example.com）可共享；但不能设为"localhost"（现代浏览器不支持），开发时建议用"127.0.0.1"或配 hosts
Cookie 生命周期与 Session 过期必须手动对齐
Session 数据存在服务端（如 Redis），它的过期由 sess.Options.MaxAge 控制；而 Cookie 本身是客户端存储的凭证，它的过期由 http.Cookie.MaxAge 或 Expires 控制。两者不同步，用户就可能拿着一个“有效 Cookie”去换一个“已过期 Session”，结果登录态突然丢失。
实操建议：
- 登录成功后写入 Cookie 时，
MaxAge应 ≤ Session 后端的 TTL（比如 Redis key 过期时间），否则 Cookie 还活着，Session 已被清理 - 退出登录时，不仅要删服务端 Session，还要用
c.SetCookie(&http.Cookie{Name: "session_id", MaxAge: -1, Path: "/"})主动清除客户端 Cookie - 避免用
time.Now().Add(24 * time.Hour)算Expires，因为服务器和客户端时钟偏差会导致行为不一致；优先用MaxAge（单位秒，相对当前时间）
Session 值取用前必须判空 + 类型断言
从 sess.Values["user_id"] 拿出来的值是 interface{}，直接赋给 int 或 string 变量不会编译报错，但运行时 panic 很常见 —— 尤其当 Key 不存在、Session 被清空、或之前存的是 int64 而这次想转 int。
安全写法只有两步：
- 先检查 key 是否存在：
if val, ok := sess.Values["user_id"]; ok { ... } - 再做类型断言：
if id, ok := val.(int64); ok { ... }，不要写sess.Values["user_id"].(int64) - 写入时也统一类型：比如用户 ID 全部存为
string，避免混用int、int64、string
最易被忽略的是：Session 中间件注册顺序。如果把 e.Use(session.Middleware(...)) 放在 e.GET("/profile", ...) 之后，那个 handler 根本拿不到 session.Context，sess 为 nil，后续所有操作都失效 —— 中间件必须在任何路由注册前挂载。
