Go 设置 Cookie 后浏览器为何只在部分路径发送

Go 设置 Cookie 后，浏览器只在部分路径发送，通常不是 http.SetCookie 失效，而是 Cookie 的 Path 没有覆盖当前请求路径。比如 Path=/admin 可以匹配 /admin 和 /admin/users，不会匹配 /api/users；如果没有显式设置 Path，浏览器还可能按设置 Cookie 的响应 URL 推导一个更窄的默认目录。

Cookie 的 Path 决定了哪些请求能带上它

http.Cookie 的 Path 会被 Go 序列化到响应头。浏览器保存后，把请求 URL 的路径与这个范围比较：路径相同，或请求路径位于该目录下，Cookie 才有机会进入请求头。这里的“有机会”很重要，因为 Secure、SameSite、域名和过期时间仍可能让它被排除。

func setAdminSession(w http.ResponseWriter, r *http.Request) {
	// Path 只让管理端及其子路径使用这枚会话 Cookie。
	cookie := &http.Cookie{
		Name:     "session_id",
		Value:    "demo-123",
		Path:     "/admin",
		HttpOnly: true, // 限制脚本读取，不改变路径匹配规则。
		SameSite: http.SameSiteLaxMode,
	}
	http.SetCookie(w, cookie)
	w.WriteHeader(http.StatusNoContent)
}

没有设置 Path 时，默认范围可能比预期更窄

很多问题来自只写了 Name 和 Value。响应里的 Set-Cookie 没有 Path 时，浏览器会依据设置它的请求路径计算默认路径。假设登录接口是 /admin/login，默认范围通常落在 /admin；之后请求 /api/me 时，即使域名相同，也不代表会带上这枚 Cookie。

如果应用希望会话覆盖整个站点，应该明确写 Path=/，而不是把默认行为交给不同入口路径。反过来，管理端和公开端需要隔离时，显式写成 /admin 更容易审查，也能避免 Cookie 被无关接口携带。

func setSiteSession(w http.ResponseWriter, r *http.Request) {
	// 显式使用根路径，避免 Cookie 的默认目录随登录入口变化。
	cookie := &http.Cookie{
		Name:     "session_id",
		Value:    "demo-123",
		Path:     "/",
		HttpOnly: true,
		SameSite: http.SameSiteLaxMode,
	}
	http.SetCookie(w, cookie)
}

排查时先看 Path，再看传输和跨站属性

打开浏览器开发者工具的请求详情，先确认响应中的 Set-Cookie 是否真的含有预期 Path，再查看后续请求的 Request Headers。不要只在 Go 服务端打印 r.Cookie：如果浏览器根本没有发送，服务端的读取代码不会提供更多线索。

1. 核对路径：设置接口的 Path 是否覆盖业务接口，是否把 /admin 错写成了只覆盖单个文件名的范围。
2. 核对域名：前端访问的是 app.example.com，接口却在 api.example.com 时，要明确是否需要 Domain，以及是否涉及不同站点策略。
3. 核对 HTTPS：Secure=true 的 Cookie 不会通过普通 HTTP 请求发送，本地开发协议变化时最容易误判。
4. 核对 SameSite：跨站跳转、嵌入和接口调用可能改变浏览器是否附带 Cookie；这不是 Path 能解决的问题。

删除 Cookie 时必须复用原来的路径范围

删除 Cookie 不是只发送同名空值。浏览器识别 Cookie 时还会看 Path 和 Domain；如果原 Cookie 是 Path=/admin，删除时却用 Path=/，可能得到另一枚同名 Cookie，原值仍然存在。

func clearAdminSession(w http.ResponseWriter, r *http.Request) {
	// 删除时复用设置 Cookie 时的 Path，MaxAge

可以把 Cookie 参数集中到一个构造函数，设置和删除共用同一份 Name、Path、Domain。这样既减少路径漂移，也方便在代理、子域名和本地开发环境切换时统一检查。

常见问题

Path=/admin 会匹配 /administrator 吗？

不会把普通字符串前缀当作完整路径目录。请求路径要么就是 /admin，要么在它后面以斜杠进入子路径，因此 /administrator 不应按子目录理解。

Go 服务端能强制浏览器跨路径发送 Cookie 吗？

不能。Go 只能通过响应头声明 Cookie 属性；浏览器会结合请求 URL、协议、域名和跨站上下文做最终判断。需要全站范围时，把意图写成显式的 Path=/。

为什么清空 Cookie 后刷新仍能读到旧值？

优先检查删除响应里的 Path 和 Domain 是否与原 Cookie 完全相同，并在浏览器的 Cookie 列表中查看是否同时存在多个同名、不同路径的条目。