Go net/http Request.Cookies 遇到重复 Cookie 名时如何保留全部值

网关收到请求后，业务日志里只留下了一个 promo Cookie，但浏览器实际发来了两个同名值。这个场景不能用一个字符串变量草草处理：Go 的 net/http.Request.Cookies() 会按请求头出现的顺序返回全部 Cookie，业务代码要自己决定是否保留重复值、是否去重，以及哪个值可以进入后续判断。

需要完整读取同名 Cookie 时，遍历 Request.Cookies() 并按 Name 筛选；不要把 Cookie(name) 得到的单个值当成重复 Cookie 的完整集合。

先看清 Request.Cookies 和 Request.Cookie 的返回差异

下面的请求包含两个同名 Cookie：

Cookie: promo=spring; sid=abc123; promo=vip

Request.Cookies() 返回一个切片，里面依次有 promo=spring、sid=abc123 和 promo=vip。而 Request.Cookie("promo") 的返回类型是单个 *http.Cookie，它适合“这个名称最多只允许一个值”的约束，不适合表达全部重复项。

用一个小函数保留同名 Cookie 的全部值

把读取和业务规则拆开，先得到原始顺序，再由调用方决定是否接受多个值：

package main

import (
    "fmt"
    "net/http"
)

func cookieValues(r *http.Request, name string) []string {
    var values []string
    for _, c := range r.Cookies() {
        if c.Name == name {
            values = append(values, c.Value)
        }
    }
    return values
}

func handle(w http.ResponseWriter, r *http.Request) {
    values := cookieValues(r, "promo")
    if len(values) == 0 {
        http.Error(w, "promo cookie missing", http.StatusBadRequest)
        return
    }
    if len(values) > 2 {
        http.Error(w, "too many promo cookies", http.StatusBadRequest)
        return
    }
    fmt.Fprintln(w, values)
}

这里的控制流只有一个关键分叉：遍历结果命中 Name == "promo" 时追加值，遍历结束后再判断数量。这样不会因为后出现的 Cookie 覆盖先出现的 Cookie，也方便把“最多两个值”变成明确的输入约束。

重复值到底该接受、去重还是直接拒绝

读取完整集合不等于业务一定要接受集合。若 promo 只是展示标签，可以保留全部值并在展示层去重；若它参与折扣计算，建议规定最多一个有效值，出现两个时记录日志并走拒绝分支。尤其不要直接写成 map[string]string，否则后来的值会覆盖先来的值，排查问题时连原始输入形状都看不到。

还要记住 Cookie 值来自请求端。格式校验、长度限制和允许值列表应该发生在业务动作前；不能因为解析函数成功就认为值可信。

常见问题

Request.Cookies 会把同名 Cookie 自动合并吗？

不会。它返回解析后的多个 *http.Cookie，同名项仍然是不同切片元素。

可以只调用 Request.Cookie 读取重复值吗？

不适合。这个入口表达的是取一个匹配项；需要审计或处理全部同名值时，应遍历 Request.Cookies()。

重复 Cookie 应该取最后一个吗？

不要默认这么做。是否接受、去重或拒绝是业务规则；鉴权、优惠和状态切换类 Cookie 更适合显式限制数量并记录异常。

小结

Request.Cookies() 解决的是“请求里有哪些 Cookie”，不会替你决定重复名称的业务含义。先保留切片和顺序，再做名称筛选、数量限制与值校验，代码行为才不会被隐式覆盖带偏。