当前位置：首页 > 文章列表 > Golang > Go教程 > Go http.Cookie 怎么设置 SameSite 和 Secure 属性

Go http.Cookie 怎么设置 SameSite 和 Secure 属性

来源：17golang原创 2026-09-08 08:58:18 0浏览收藏

在 Go 服务里设置登录态 Cookie，关键不是把属性拼成一长串字符串，而是正确填写 http.Cookie。通常可以从 SameSite 控制跨站发送范围，用 Secure 限制为 HTTPS，再用 HttpOnly 降低脚本直接读取的风险；Cookie 的生存期则由 MaxAge 和 Expires 决定。

普通同站登录优先考虑 SameSite=Lax、Secure=true、HttpOnly=true；确实需要跨站携带时才使用 SameSite=None，并且必须同时打开 Secure。

要点速览

SameSite 决定跨站请求是否带 Cookie，Secure 决定是否只在 HTTPS 请求中发送。
MaxAge>0 表示秒数，MaxAge 表示立即删除，MaxAge=0 表示不写入 Max-Age。
排查时看服务端最终发出的 Set-Cookie，不要只看 Go 结构体的初始值。

一、先分清 Cookie 属性各自控制什么

http.Cookie 同时表示响应里的 Set-Cookie 和请求里的 Cookie。写响应时最容易混淆的是几个布尔值和生命周期字段，它们并不是同一个层面的开关。

字段	作用	常见选择
`SameSite`	限制跨站请求是否携带	Lax、Strict、None
`Secure`	仅通过 HTTPS 发送（localhost 有例外）	生产环境通常为 true
`HttpOnly`	禁止 JavaScript 通过 Document.cookie 读取	登录态通常为 true
`MaxAge`	以秒定义生存期或删除动作	正数、0、负数

这些字段不能替代服务端的身份校验和 CSRF 防护。比如 HttpOnly 仍允许浏览器把 Cookie 随请求发送，Secure 也不等于 Cookie 内容绝对不会被读取。

Go http.Cookie 的 SameSite、Secure、HttpOnly 与 MaxAge 静态属性边界关系图 — 图1：查看 http.Cookie 字段、浏览器发送条件和生命周期边界之间的静态关系。

二、用 http.Cookie 生成登录态 Cookie

服务端直接构造结构体，再交给 http.SetCookie 序列化。下面的例子把 Cookie 限定到根路径，设置两小时有效期，并让浏览器只在 HTTPS 请求中发送。

package main

import (
    "net/http"
    "time"
)

func issueSession(w http.ResponseWriter) {
    cookie := &http.Cookie{
        Name:     "session_id",
        Value:    "opaque-session-value",
        Path:     "/",
        MaxAge:   int((2 * time.Hour).Seconds()), // 正数表示存活秒数
        Secure:   true,                           // 生产环境要求 HTTPS
        HttpOnly: true,                           // 禁止脚本直接读取
        SameSite: http.SameSiteLaxMode,           // 同站请求及合适的顶层导航
    }
    http.SetCookie(w, cookie)
}

这里不要写 SameSite: "Lax"，因为 Go 使用 http.SameSiteLaxMode 等枚举值。SetCookie 会把结构体序列化为响应头；Cookie 名称非法时，String 会返回空字符串，因此名称和值也要使用合法的 Cookie 字符。

如果登录态只服务于后端接口，HttpOnly 通常应保留为 true。前端需要读取的主题偏好等非敏感 Cookie，才另行评估是否允许脚本访问。

三、SameSite 选择要和跨站场景对应

SameSite=Strict 只允许同站请求，限制最强，但用户从外部站点点击链接回到业务页时，登录态体验可能受影响。Lax 允许同站请求和符合条件的跨站顶层安全导航，是许多普通网页登录的折中。None 允许跨站和同站请求，必须同时设置 Secure，适合确实存在跨站嵌入或跨站回调的场景。

选择前先问清楚“站”而不是只看域名：跨站判断包含 scheme。开发环境用 HTTP 访问时，SameSite=None; Secure 往往无法按预期工作；生产环境应使用 HTTPS，并在反向代理终止 TLS 时确认应用能正确识别外部协议。