Go net/http CookieJar 如何隔离不同登录会话

在同一个 Go 进程里代替多个账号访问 HTTP 服务时，最稳妥的隔离方式是“一套登录会话对应一个 cookiejar.Jar 和一个 http.Client”。不要让多个账号共用带 Jar 的 Client，也不要只靠手动改 Cookie 字符串。登录响应里的 Set-Cookie 会进入当前 Jar，后续请求再由同一个 Client 按域名和路径规则取出。

官方参考：https://pkg.go.dev/net/http/cookiejar、https://pkg.go.dev/net/http

一、先把“登录会话”绑定到独立 Jar

http.CookieJar 是一个接口，负责接收响应 Cookie，并决定后续请求向指定 URL 发送哪些 Cookie。标准库的 net/http/cookiejar 提供了内存中的 RFC 6265 实现。隔离的最小单位不是账号字符串，而是 Jar 中保存的 Cookie 集合。

二、登录和业务请求必须复用同一个 Client

创建会话时，把 Jar 放入 Client，然后把这个 Client 传给登录函数和所有需要登录态的函数。下面的示例用两个内存会话表示两个账号；登录地址只是示意，真实项目应替换为自己的接口和字段。

package main

import (
    "fmt"
    "net/http"
    "net/http/cookiejar"
)

type Session struct {
    Name   string
    Client *http.Client
}

func NewSession(name string, transport http.RoundTripper) (*Session, error) {
    jar, err := cookiejar.New(nil)
    if err != nil {
        // Jar 创建失败时不要返回一个没有会话存储的半成品。
        return nil, fmt.Errorf("创建 %s 的 CookieJar 失败: %w", name, err)
    }
    // 多个 Client 可共享 Transport，但每个 Session 必须持有自己的 Jar。
    return &Session{Name: name, Client: &http.Client{Jar: jar, Transport: transport}}, nil
}

func login(s *Session, loginURL string) error {
    req, err := http.NewRequest(http.MethodPost, loginURL, nil)
    if err != nil {
        return fmt.Errorf("创建登录请求失败: %w", err)
    }
    resp, err := s.Client.Do(req)
    if err != nil {
        return fmt.Errorf("%s 登录请求失败: %w", s.Name, err)
    }
    defer resp.Body.Close() // 只读取会话状态时也要关闭响应体。
    if resp.StatusCode = http.StatusMultipleChoices {
        return fmt.Errorf("%s 登录返回 HTTP %d", s.Name, resp.StatusCode)
    }
    return nil // Client 会把可接受的 Set-Cookie 交给 s.Client.Jar。
}

func main() {
    transport := http.DefaultTransport
    alice, _ := NewSession("alice", transport)
    bob, _ := NewSession("bob", transport)
    _ = login(alice, "https://api.example.test/login")
    _ = login(bob, "https://api.example.test/login")
    // 后续请求继续使用 alice.Client 或 bob.Client，不能临时换成 http.DefaultClient。
}

示例中两个 Client 共享的是连接层的 Transport，不是 Cookie 存储。若把 alice.Client 和 bob.Client 换成同一个带 Jar 的 Client，后登录的账号可能覆盖前一个账号的会话 Cookie，问题通常只会在第二次业务请求时暴露。

三、清空、并发与重定向边界要分开判断

cookiejar.Jar 没有“按账号删除全部 Cookie”的业务方法。需要退出或重新登录时，最简单的做法是丢弃旧 Session，创建新的 Jar 和 Client；如果业务必须保留部分 Cookie，就要在更高层维护允许保留的字段，而不是直接修改 Jar 的内部状态。

标准 CookieJar 实现需要支持多个 goroutine 并发调用，因此一个 Session 可以被多个请求协程使用；但这不等于可以把一个 Session 分给多个登录身份。并发安全解决的是数据竞争，身份隔离解决的是数据归属。

重定向也使用同一个 Client 的 Jar。若服务端在重定向链中设置 Cookie，继续复用原 Client 才能让后续请求看到这份状态。若要禁止跨域重定向或限制登录流程，应额外设置 CheckRedirect，不要用新 Client 代替安全策略。

四、用 Cookie 和请求归属检查确认没有串号

排查时先看每个 Jar 当前针对目标 URL 能返回哪些 Cookie，再检查业务请求是否始终使用了预期 Session。Jar.Cookies 只返回适用于该 URL 的 Cookie，空结果可能表示尚未登录、域名路径不匹配或服务端没有返回可接受的 Cookie，不能直接断言登录失败。

func describeCookies(s *Session, target string) error {
    u, err := http.NewRequest(http.MethodGet, target, nil)
    if err != nil {
        return err
    }
    for _, c := range s.Client.Jar.Cookies(u.URL) {
        // 只打印名称和长度，避免把会话值写进日志。
        fmt.Printf("session=%s cookie=%s value_len=%d\n", s.Name, c.Name, len(c.Value))
    }
    return nil
}

生产日志不要输出 Cookie 值本身。可以记录 Session 的内部标识、目标主机、Cookie 名称和响应状态，再结合服务端返回的账号信息确认归属。若 Cookie 名称相同但值不同，这是正常的；真正的错误是同一个 Session 对象被两个身份复用。

相关问题

只创建多个 http.Client，不创建多个 CookieJar 可以吗？

不建议。多个 Client 如果共享同一个 Jar，Cookie 仍然会进入同一份存储；要隔离登录态，应让每个 Client 持有独立 Jar。

多个独立 Client 能共享一个 Transport 吗？

可以。Transport 负责连接与传输策略，CookieJar 负责会话状态；共享 Transport 不会自动合并 Jar。

如何让 CookieJar 立即退出登录？

优先丢弃旧 Session 并创建新 Jar。若服务端要求显式注销，先用旧 Client 调用注销接口，再丢弃本地会话。

小结：把“身份”封装成独立的 Session{Client, Jar}，让登录、重定向和业务请求始终沿同一条链路运行；Transport 可以共享，Jar 不能跨身份共享。