根本原因是删除时新Cookie的Path、Domain等属性与原Cookie不一致，浏览器视其为独立Cookie而非覆盖，导致旧Cookie残留；必须确保所有属性完全匹配且Value为空字符串、MaxAge=0、Expires设为过去时间。
为什么 c.SetCookie() 设 maxAge=0 却删不掉？
根本原因不是函数没生效，而是新 Cookie 的 Path、Domain 与原 Cookie 不一致，浏览器视为两个独立 Cookie，旧的仍保留。Echo 的 c.SetCookie() 必须传入与原始写入时完全匹配的路径和域名参数，否则无法覆盖。
常见错误操作：
- 前端用
document.cookie = "name=value; path=/admin"写入，后端却用http.Cookie{Path: "/"}尝试删除 - 本地开发时
Domain留空，上线后用了.example.com，但删除时没同步改回 - 忽略大小写：浏览器对
Domain值区分大小写，Example.com≠example.com
如何确认当前 Cookie 的真实作用域？
别猜，直接看浏览器 DevTools → Application → Cookies → 选中目标项，重点核对三列：Domain、Path、SameSite。尤其注意：
-
Domain字段为空时，等价于当前主机名（不含子域），不能匹配www.example.com和api.example.com -
Path是精确前缀匹配，/user写入的 Cookie 在/user/profile可读，但在/admin不可见 - 若
SameSite=Lax或Strict，跨站请求（如 iframe、表单提交）默认不携带，此时“删不掉”可能是压根没发过去
删除 Cookie 的正确写法（Echo v4）
必须构造一个 *http.Cookie 实例，所有字段与原始写入一致，仅把 MaxAge 设为 0、Expires 设为过去时间，并确保 Value 为空字符串（非 nil）：
cookie := &http.Cookie{
Name: "session_id",
Value: "",
Path: "/",
Domain: ".example.com", // 与写入时完全一致
MaxAge: 0,
Expires: time.Unix(1, 0), // 过去的时间戳
HttpOnly: true,
Secure: true, // 若原 Cookie 是 Secure，这里也得设 true
SameSite: http.SameSiteLaxMode,
}
c.SetCookie(cookie)
关键点：
-
Value必须是空字符串""，不是nil或任意占位符 -
Secure和HttpOnly必须与原始 Cookie 一致，否则浏览器拒绝覆盖 - 如果原始 Cookie 是通过前端 JS 写入（
document.cookie），它默认没有HttpOnly，所以删除时HttpOnly应设为false
调试时容易被忽略的细节
即使代码写对了，也可能因环境或中间件干扰失败：
- 反向代理（Nginx / Caddy）可能重写了
Set-Cookie头，检查响应头是否真的包含你预期的Set-Cookie: name=; Max-Age=0; ... - 多个中间件（如 CORS、JWT 验证）可能在
c.SetCookie()后又写入同名 Cookie，导致覆盖失效 - 浏览器隐私模式或扩展（如 Cookie AutoDelete）会拦截或立即清理，务必在无痕窗口+禁用扩展下验证
- Chrome 80+ 对
SameSite默认行为变更：未声明SameSite的 Cookie 被视为Lax，但删除时若新 Cookie 声明了SameSite=None，两者不兼容，会被忽略
