Echo 中 c.SetCookie() 无法直接用作 session，因其仅设置普通 Cookie 而不绑定会话逻辑；必须配合 session.Middleware() 和服务端存储（如 Redis/文件），由中间件负责 sessionID 解密、校验与上下文绑定。
不能只靠 Cookie 自己维持会话状态，必须配合 Session 中间件和服务器端存储 —— Echo 本身不处理会话逻辑，Cookie 只负责传 sessionID。
为什么 c.SetCookie() 写的 Cookie 无法直接当 session 用
Echo 的 c.SetCookie() 只是设置一个普通客户端 Cookie，它不带任何会话绑定逻辑。浏览器下次带着这个 Cookie 来，Echo 不会自动查数据库、不校验签名、不恢复上下文 —— 它就是个裸字符串。你手动写 session_id=abc123，框架完全不管这串是不是合法、过没过期、有没有被篡改。
- 常见错误：登录成功后
c.SetCookie(&http.Cookie{Name: "session_id", Value: genID(), MaxAge: 3600})，然后在其他路由里c.Cookie("session_id")拿到就认为“用户已登录” - 后果：攻击者可伪造任意
session_id值绕过认证；服务重启后无法校验旧 ID；无法主动销毁会话 - 正确路径：Cookie 只传加密后的 sessionID，真实数据存在服务端（文件/Redis），由
session.Middleware()负责解密、加载、绑定到c
Session 中间件注册顺序和存储后端必须显式指定
中间件必须在 e.GET()、e.POST() 等路由注册之前调用，否则 handler 里 session.Get() 拿到的是 nil 或 panic。
- 存储后端不能省：
sessions.NewFilesystemStore("./sessions", []byte("your-32-byte-secret-key"))或sessions.NewRedisStore(...)，光 import 包没用 - 密钥长度必须 ≥ 32 字节，
"123"这种会触发crypto/aes错误 - 域名和路径要对齐：如果前端是
https://app.example.com，Options.Domain得设成"example.com"，不然浏览器不回传 Cookie - 示例注册写法：
e.Use(session.Middleware(sessions.NewFilesystemStore("./sessions", []byte("01234567890123456789012345678901"))))
读写 session.Values 时类型断言必须加双层判空
sess.Values 是 map[string]interface{}，直接 sess.Values["user_id"].(int64) 在 key 不存在或类型不匹配时 runtime panic。
- 安全写法分两步：
if val, ok := sess.Values["user_id"]; ok {<br> if id, ok := val.(int64); ok {<br> // 使用 id<br> }<br>} - 写入也建议统一类型：用户 ID 全存
string，别一会int一会json.Number -
sess.Options.MaxAge控制服务端 session 过期，但 Cookie 本身的Expires或MaxAge也要同步设，否则浏览器可能提前丢掉 sessionID
c.Cookie() 和 c.SetCookie() 的边界必须守死
Echo 禁止直接调用 http.SetCookie() 或操作 Header().Set("Set-Cookie", ...)，否则和中间件冲突，Cookie 可能被覆盖或丢失。
- 读 Cookie 必须用
c.Cookie("name")（返回*http.Cookie）或c.Cookies()（返回切片） - 写 Cookie 必须用
c.SetCookie(cookie *http.Cookie)，且cookie必须是new(http.Cookie)初始化后赋值的实例 - 注意
http.Cookie.Expires和http.Cookie.MaxAge二选一，同时设浏览器可能忽略 - 敏感 Cookie 务必加
HttpOnly: true和Secure: true（HTTPS 环境下）
最易被忽略的一点：Session 名（如 "user_session"）在 session.Get() 和 sess.Save() 中必须字面量完全一致，大小写敏感，拼错一个字母就等于操作另一个隔离的 session 空间。
