Go http.Cookie MaxAge 设为负数时浏览器怎么处理删除

在 Go 里，http.Cookie.MaxAge 设为负数，表示“立即删除”语义；net/http 会把它编码成 Max-Age=0。浏览器收到这条新的 Set-Cookie 后，会让同名、同路径、同域的旧 Cookie 立即失效。要注意，MaxAge=0 不是删除，而是省略 Max-Age 属性，通常表示会话 Cookie。

Go 的 MaxAge 三种值分别表达什么

Cookie.MaxAge 是一个整数，Go 官方文档给出的约定很明确：小于 0 表示立即删除，等于 0 表示不生成 Max-Age 属性，大于 0 表示生成指定秒数的 Max-Age。因此删除时应优先写成负数，而不是把它误写成 0。

用 http.SetCookie 发送删除响应

删除动作发生在响应头，而不是请求处理函数里的某个内存赋值。服务端应构造一条同名 Cookie，把值置空并将 MaxAge 设为负数，再交给 http.SetCookie 写入响应。下面的函数可以作为退出登录或撤销临时凭证的基础封装。

package main

import "net/http"

// clearCookie 通过新的 Set-Cookie 让浏览器删除指定作用域内的 Cookie。
func clearCookie(w http.ResponseWriter, name, path, domain string) {
	cookie := &http.Cookie{
		Name:     name,
		Value:    "",       // 删除时不需要保留旧值
		Path:     path,      // 必须与原 Cookie 的 Path 对齐
		Domain:   domain,    // 原 Cookie 没有 Domain 时这里也应保持为空
		MaxAge:   -1,        // 负数表示立即删除，Go 会编码为 Max-Age=0
		HttpOnly: true,
		Secure:   true,
		SameSite: http.SameSiteLaxMode,
	}
	http.SetCookie(w, cookie)
}

func logout(w http.ResponseWriter, r *http.Request) {
	// 这里的路径和域要使用登录 Cookie 原本的作用域。
	clearCookie(w, "session_id", "/", "")
	w.WriteHeader(http.StatusNoContent)
}

代码中的 Secure、HttpOnly 和 SameSite 不是删除条件，但保留它们能让删除响应与原 Cookie 的安全策略一致。若开发环境使用明文 HTTP，Secure 可能让浏览器忽略这条响应，需要在本地配置和生产配置中分别处理，而不是随意去掉线上安全属性。

删除为什么必须对齐 Name、Path 和 Domain

浏览器并不是按 Cookie 名称单独查找记录。它会把名称、域和路径一起用于定位存储项；删除响应如果使用了不同的路径或域，实际上可能创建了一条已经过期的新记录，原来的那条仍然存在。

最常见的排查场景是：登录时使用了 Path=/app，退出时却使用 Path=/；或者登录时指定了 Domain=example.com，退出时把 Domain 留空。两条记录的值看起来都叫 session_id，但作用域不同，浏览器不会把后者当成前者的删除指令。

// 登录和退出共用同一组作用域，避免删除时匹配不到原记录。
const sessionPath = "/app"

func clearAppSession(w http.ResponseWriter) {
	// 如果登录 Cookie 没有设置 Domain，这里也不要临时补上 Domain。
	http.SetCookie(w, &http.Cookie{
		Name:     "session_id",
		Value:    "",
		Path:     sessionPath,
		MaxAge:   -1,
		HttpOnly: true,
		Secure:   true,
		SameSite: http.SameSiteLaxMode,
	})
}

保留安全属性并按响应头排查

如果退出后前端仍能读到 Cookie，先不要只看开发者工具的“应用程序”面板。按下面顺序检查：响应是否真的包含 Set-Cookie；Name 是否相同；Path、Domain 是否和登录时一致；请求是否因为 Secure、跨站策略或代理改写而被浏览器忽略。

• 登录时没有显式设置 Domain，删除时通常也应保持空值，让它继续匹配 host-only Cookie。
• 如果同名 Cookie 在多个路径下存在，需要对每个实际作用域分别发送删除响应。
• HttpOnly Cookie 无法通过 JavaScript 的 document.cookie 直接读取，检查时应看网络响应和浏览器存储记录。
• 当同时发送 Expires 与 Max-Age 时，现代用户代理通常以 Max-Age 为准；删除逻辑仍应优先保证匹配键正确。

结论可以压缩成一句话：Go 中用 MaxAge:-1 生成删除语义，但真正能否删掉，还取决于新的 Set-Cookie 是否命中了原 Cookie 的 Name、Path 和 Domain。

相关问题

为什么 MaxAge=0 没有删除 Cookie？

因为在 Go 的 http.Cookie 约定中，0 表示不发送 Max-Age 属性。删除应使用小于 0 的值。

删除 Cookie 时一定要把 Value 设为空吗？

空值是最清晰、最常见的写法。真正决定立即过期的是负数 MaxAge；Value 为空还能避免误把删除响应当成有效业务值。

只设置 MaxAge:-1 仍然删不掉，通常看哪里？

优先对比登录和退出两条响应的 Name、Path、Domain，以及 Secure、代理和跨站策略。作用域不一致时，浏览器会把删除响应视为另一条 Cookie。