根本原因是Echo不自动刷新Cookie过期时间，必须每次请求动态重设Expires/MaxAge。需在中间件或handler中调用c.SetCookie()，基于time.Now().Add()实时计算新过期时间，并同步更新服务端session。
为什么 SetCookie 不续期，而客户端 Cookie 却过期了？
根本原因在于：Echo 默认不自动刷新 Cookie 的 Expires 或 Max-Age。即使你每次响应都调用 c.SetCookie()，若传入的过期时间是相对固定值（比如创建时算好 24 小时后），那它不会随每次请求动态延后——用户不动页面，Cookie 照样到期。
真正续期，必须在每次有效请求中重新下发带新过期时间的 Cookie。常见错误是只在登录时设一次，之后完全不管。
- 务必在中间件或关键 handler 中调用
c.SetCookie()，而不是仅在登录逻辑里 - 过期时间应基于「当前时间 + 延长量」动态计算，避免硬编码时间戳
- 注意：浏览器只接受服务端明确下发的新
Set-Cookie头才会更新本地 Cookie；单纯读取c.Cookie()不会触发续期
如何用 c.SetCookie() 实现静默续期？
核心是每次请求都重置有效期。例如用户会话 Cookie 续期 30 分钟，就在每个受保护接口里重新下发：
// 示例：续期名为 "session_id" 的 Cookie，有效期 30 分钟
expires := time.Now().Add(30 * time.Minute)
c.SetCookie(&http.Cookie{
Name: "session_id",
Value: sessionID,
Expires: expires,
MaxAge: 30 * 60,
HttpOnly: true,
Secure: c.Request().TLS != nil, // 生产环境建议开启
Path: "/",
SameSite: http.SameSiteLaxMode,
})
关键点：
-
Expires和MaxAge建议同时设置，兼容性更好；MaxAge优先级更高，但老 IE 只认Expires -
Secure必须根据请求协议动态判断，否则 HTTPS 下发Secure=true但 HTTP 请求会失败 - 不要依赖
time.Now().Add(...)在全局变量里算一次就复用——它必须在每次请求中执行，保证时间新鲜
用中间件统一处理续期，避免重复写代码
把续期逻辑抽成中间件最稳妥，尤其当多个路由组都需要会话保活时：
func CookieRenewal(next echo.HandlerFunc) echo.HandlerFunc {
return func(c echo.Context) error {
// 检查是否已认证（比如从 JWT 或 session 中确认）
if userID := c.Get("user_id"); userID != nil {
// 读取现有 session ID（或生成新 ID，视业务而定）
sessionID, _ := c.Cookie("session_id")
if sessionID != nil {
expires := time.Now().Add(30 * time.Minute)
c.SetCookie(&http.Cookie{
Name: "session_id",
Value: sessionID.Value,
Expires: expires,
MaxAge: 30 * 60,
HttpOnly: true,
Secure: c.Request().TLS != nil,
Path: "/",
SameSite: http.SameSiteLaxMode,
})
}
}
return next(c)
}
}
// 使用
e.Use(CookieRenewal)
注意：
- 中间件中需先判断用户是否已登录/有效，否则未登录用户也会被下发 Cookie，可能引发误续期
- 如果使用服务端 Session 存储（如 Redis），记得同步更新存储中的过期时间，否则 Cookie 虽续了，服务端 session 却已删
- 不要在中间件里无条件续期所有 Cookie——只处理你明确要保活的那几个（如
session_id、csrf_token）
续期时容易忽略的跨域与 SameSite 问题
如果你的前端在 app.example.com，后端 API 在 api.example.com，或者用了子域名共享 Cookie（如 .example.com），SameSite 和 Domain 配置错一个，续期就失效。
- 跨子域名共享必须显式设置
Domain: ".example.com"，且不能带协议或端口 -
SameSite=Strict会导致跳转或表单提交时 Cookie 不发送，推荐用SameSiteLaxMode平衡安全与可用性 - 开发时若用 localhost + 非标准端口（如 :3000），Chrome 对
SameSite=Lax有额外限制，可临时设为SameSiteNoneMode+Secure:true，但仅限本地 - 用浏览器 DevTools 的 Application → Cookies 面板，每次请求后手动检查
Expires字段是否真的变了——这是验证续期是否生效的最直接方式
续期不是设一次就完事的事，它是每次请求都要参与的协同动作；最容易出问题的地方，往往藏在中间件的判断条件里，或是跨域配置漏掉了一个点。
