必须使用 c.SetCookie() 设置 Cookie，因其是 Echo 框架唯一安全入口；需传入完整 *http.Cookie 对象，Name 和 Value 非空，Path、Domain、HttpOnly、Secure 等字段须按场景显式配置，读取时应使用 errors.Is(err, http.ErrNoCookie) 判断缺失。
必须用 c.SetCookie()，不能手动调用 http.SetCookie
直接操作 http.ResponseWriter.Header().Set("Set-Cookie", ...) 或 http.SetCookie() 会导致 Header 冲突、Cookie 被静默丢弃，甚至返回 500 错误。Echo 封装了底层逻辑，c.SetCookie() 才是唯一安全入口。
正确流程分两步：先构造 *http.Cookie 实例，再传给 c.SetCookie()。注意不是键值对，也不是 map，必须是完整 Cookie 对象。
-
cookie.Name和cookie.Value必须非空，否则浏览器可能忽略 -
cookie.MaxAge和cookie.Expires二选一即可；同时设可能导致部分浏览器失效 -
cookie.HttpOnly = true是防 XSS 的基本要求，登录态 Cookie 建议强制开启 -
cookie.Secure = true仅在 HTTPS 环境下生效，开发时若用 HTTP 本地测试需设为false，否则浏览器拒收
http.Cookie 字段怎么填才不踩坑
常见错误是只设 Name 和 Value，结果上线后 Cookie 在子路径或子域名下读不到。关键字段必须按场景显式配置：
-
Path：默认"/"表示全站可读；若设为"/admin"，则/api下的请求无法访问该 Cookie -
Domain：跨子域共享（如app.example.com和api.example.com）需设为".example.com"（开头带点）；留空则仅限当前主机名 MaxAge （如-1）等效于删除 Cookie，比设Expires = time.Now().Add(-1 * time.Second)更可靠-
SameSite不是http.Cookie原生字段，需通过cookie.Raw拼接（如cookie.Raw = "SameSite=Lax; HttpOnly"），但注意顺序和分号
读取 Cookie 时为什么总报 http.ErrNoCookie
c.Cookie("name") 返回 *http.Cookie 和 error，不存在时不是返回 nil，而是明确返回 http.ErrNoCookie。很多代码直接判 err != nil 就 panic，其实应该专门处理这个错误：
- 用
errors.Is(err, http.ErrNoCookie)判断是否只是“没找到”，而非其他网络或解析错误 - 想批量检查多个 key，用
c.Cookies()遍历更稳妥，避免反复调用c.Cookie()触发多次解析开销 - Cookie 值是 URL 编码的，
cookie.Value已自动解码；但若原始值含特殊字符（如中文、空格），建议服务端写入前主动url.QueryEscape，读取后url.QueryUnescape更可控
开发环境 Cookie 总是不生效？检查这三点
本地调试时 Cookie 看似“写进去了却读不出来”，大概率是以下三个配置之一没对：
-
Secure = true但用http://localhost:8080访问 → 改成Secure = false或换 HTTPS 本地代理 -
Domain设了"localhost"→ 浏览器认为非法，应留空或用"127.0.0.1"（且前后端 host 一致） - 前端 JS 用
fetch请求未带credentials: 'include'→ 后端 Cookie 会被浏览器拦截，不随请求发出
Session 依赖 Cookie 传递 ID，所以这些基础配置不对，后续所有 session 逻辑都会静默失败——别急着查中间件，先确认 Cookie 本身能不能写进去、能不能读出来。
