Go Cookie MaxAge 与 Expires 同时设置时怎么理解

在 Go 的 http.Cookie 里同时填写 MaxAge 和 Expires 并不表示两个倒计时会叠加。Go 会把它们分别序列化成 Max-Age 和 Expires；浏览器同时收到时，通常以 Max-Age 作为实际生存期判断，Expires 更像是兼容旧客户端的绝对时间表达。只要两者代表同一个到期意图，配置就清晰；如果一个写两小时、另一个写明天，排查时应先看 Max-Age。

需要持久化时，让 MaxAge 的秒数和 Expires 的绝对时间指向同一个时刻；需要删除时复用原 Cookie 的 Name、Path、Domain，并把 MaxAge 设为负数。

一、先分清 MaxAge 和 Expires 各自表达什么

http.Cookie.MaxAge 是 Go 结构体中的整数，单位是秒。正数会生成 Max-Age=秒数，零表示不生成 Max-Age，负数代表删除 Cookie。Expires 则是一个 time.Time，用于表达具体的绝对过期时刻。

这两个属性描述的是同一个生命周期维度，不负责控制 HttpOnly、Secure 或 SameSite。不要把它们当成安全开关，也不要用修改过期时间来替代服务端会话失效。

二、用 http.Cookie 同时输出两个属性

下面的例子让两个字段表达同一个两小时期限。使用 time.Now().UTC() 生成绝对时间，避免把本地时区误当成 HTTP 日期；MaxAge 则直接使用秒数。

package main

import (
    "fmt"
    "net/http"
    "net/http/httptest"
    "time"
)

func issueCookie() string {
    lifetime := 2 * time.Hour
    cookie := &http.Cookie{
        Name:     "session_id",
        Value:    "opaque-session-value",
        Path:     "/",
        MaxAge:   int(lifetime / time.Second), // 相对现在的存活秒数
        Expires:  time.Now().UTC().Add(lifetime), // 与 MaxAge 表达同一时刻
        HttpOnly: true, // 登录态不让脚本直接读取
        Secure:   true, // 生产环境要求 HTTPS
    }

    recorder := httptest.NewRecorder()
    http.SetCookie(recorder, cookie) // 让 net/http 负责序列化
    return recorder.Header().Get("Set-Cookie")
}

func main() {
    fmt.Println(issueCookie()) // 观察最终响应头，而不是只看结构体
}

输出中会看到类似 Max-Age=7200 和一个 GMT 格式的 Expires。这里的示例只演示序列化，不代表要在业务代码里创建测试响应；真实处理器中直接把 http.ResponseWriter 传给 http.SetCookie 即可。重要的是在写响应后检查实际的 Set-Cookie，确认没有被提前写入响应或代理层改写。

三、浏览器同时看到两个过期属性时怎么判断

假设服务端发出 Max-Age=7200，但 Expires 指向三天后，客户端仍应把两小时作为主要生存期。反过来，如果 Expires 是一小时前、Max-Age=7200，也不能只凭过期日期判断 Cookie 已失效。真正排查时先看网络面板中的原始响应头，再确认浏览器当前存储的 Cookie 是否来自本次响应。

Expires 仍有实际价值：它是客户端更容易展示和兼容的绝对日期；但绝对日期受客户端时钟影响，单独依赖它更容易出现“服务端刚设置、浏览器却已过期”的错觉。生产配置建议让两者由同一个 lifetime 计算，避免人工分别填写。

四、持久化、会话与删除场景的配置清单

三类场景最好分开写成明确策略。会话 Cookie 可以只保留 MaxAge=0 的默认值；持久化 Cookie 用同一个时长推导 MaxAge 与 Expires；删除 Cookie 则要复用创建时的定位属性。

• 持久化：MaxAge 为正数，Expires 使用 time.Now().UTC().Add(lifetime)。
• 会话态：不设置 MaxAge 和 Expires，让客户端按会话生命周期处理。
• 删除：名称、路径、域与原 Cookie 一致，MaxAge=-1，必要时同时设置已过去的 Expires。
• 冲突排查：确认是否存在同名但不同 Path 的旧 Cookie；它们可能同时出现在请求里。

一个常见误区是退出时只写 MaxAge=-1，却把 Path 从 /account 改成了 /。这会生成另一条删除指令，原路径下的 Cookie 仍可能保留。清理动作的定位字段必须和创建动作一致。

相关问题

MaxAge 和 Expires 必须二选一吗？

不必。为了兼容不同客户端可以同时提供，但两者应该由同一个生命周期值推导，避免表达冲突。

MaxAge=0 是立即删除吗？

在 Go 的 http.Cookie 中，零表示不输出 Max-Age；删除应使用负数，并复用原来的定位属性。

为什么 Expires 看起来正确，Cookie 仍然很快消失？

先检查响应中是否存在正的 Max-Age，因为它优先于 Expires；再检查是否有同名旧 Cookie、路径不一致或浏览器时钟异常。

Go 会自动把 MaxAge 转成 Max-Age 吗？

会。http.SetCookie 使用 http.Cookie 的序列化逻辑输出响应头，但最终是否被客户端接受仍要结合协议、域、路径和安全属性判断。

参考：Go net/http.Cookie 文档、Go net/http Cookie 源码、MDN Set-Cookie 说明。