Revel 的 Session 数据全部存储在客户端加密签名的 Cookie（如 REVEL_SESSION）中，不支持服务端持久化；其设计无 session store，配 Redis、改 cache 或设 SESSION_DRIVER 均无效。
Revel 的 Session 不是服务端会话，它压根没有 session store，所有数据都塞进一个加密签名的 Cookie 里——你配 Redis、改 cache 地址、设 SESSION_DRIVER，全无效。
Session 数据实际存在哪？
所有 c.Session 写入的键值对，最终都会序列化进一个名为 REVEL_SESSION（或 app.session.cookie.name 配置的自定义名）的 HTTP Cookie。这个 Cookie 经 crypto/hmac 签名防篡改，但不加密——base64 解码后能直接看到明文内容。
常见错误现象：
- 存大对象（如 JSON 字符串、图片 base64）导致 Cookie 超过 4KB，浏览器静默截断或返回 500 错误
- Key 名含冒号
:（如"user:123"），写入失败且无任何日志提示 - 在 Nginx 后部署时未设置
proxy_cookie_path / "/; Secure; HttpOnly; SameSite=Lax"，导致 Cookie 丢失或被拦截
为什么不能用 Redis 或数据库持久化 Session？
Revel 源码中根本不存在 session.RedisStore、session.DBStore 等实现；c.Session 是每次请求从 Cookie 反序列化出的临时 map[string]string，响应结束前调用 c.Session.Save() 才把当前修改写回 Cookie。整个流程不经过任何服务端存储层。
关键事实：
-
cache包和 Session 完全解耦：你可以配 memcached 做缓存，但它不影响 Session 行为 - 没有类似 Laravel 的
SessionHandlerInterface抽象，无法注入自定义 store - 不是配置漏了，也不是版本太低——这是框架设计决定的
需要服务端会话状态怎么办？
必须绕开 c.Session，自己组合其他机制：
- 用
cache.Set("sess_"+userID, data, 30*60)+cache.Get()，后端存 Redis/memcached，key 自定义、TTL 精确可控 - 建数据库表
sessions(id, user_id, data JSON, expires_at)，配合中间件校验并自动清理过期记录 - 只把
c.Session当轻量凭证：存user_id和签名，真实数据全放服务端，每次请求查一次 -
Flash同样基于该 Cookie，也受 4KB 和明文限制，别存敏感信息或长消息
怎么精确控制某个值的过期时间或作用域？
c.Session 和 c.Flash 共享同一个签名 Cookie，不支持单 key 过期或路径/域名控制。唯一办法是绕过它们，用原生 http.Cookie：
示例（Go）：
cookie := &http.Cookie{
Name: "auth_token",
Value: "abc123",
MaxAge: 300, // 5 分钟，优先级高于 Expires
Path: "/api",
Domain: ".myapp.com", // 注意开头的点，才支持子域
Secure: true,
HttpOnly: true,
SameSite: http.SameSiteStrictMode,
}
c.Response.SetCookie(cookie)
注意：app.conf 中的 session.expires = "24h" 只影响整个 REVEL_SESSION Cookie 的顶层过期时间，对内部任意 key 的语义存活期毫无作用。
最容易被忽略的点：Session 的“删除”不是真正删除——delete(c.Session, "key") 只影响本次响应写回的 Cookie 内容，下一次请求仍可能从旧 Cookie 中解析出残留字段；真要清理，得靠服务端存储+主动失效，或加时间戳逻辑校验后跳过使用。
