Go CookieJar 未保存跨子域会话的属性检查

登录接口已经返回 Set-Cookie，Go 客户端访问另一个子域却没有会话，问题经常被概括成“CookieJar 没保存”。但空结果可能发生在接收阶段，也可能只是目标请求不满足属性条件。本文围绕标准库 CookieJar，将 Domain、Path、Secure 与 SameSite 分开讨论，不把浏览器现象直接套到 Go 客户端。

适用场景：一个共享 http.Client 依次访问登录子域与业务子域。官方入口：https://pkg.go.dev/net/http/cookiejar。下面使用保留示例域名，不提供真实账号、会话值或线上抓包结果。

Cookies 返回空切片，不等于存储失败

jar.Cookies(targetURL) 表示“适合发给这个目标 URL 的 Cookie”，不是导出完整存储。对 API 地址查询为空，不能直接得出登录地址的 Cookie 也不存在。返回项也不能用来还原原始 Set-Cookie 的全部属性；应在接收响应时记录脱敏后的属性。

建议先写清三个观察点：登录响应的实际 URL、响应中解析出的 Cookie 属性、业务请求的目标 URL。登录和后续请求必须使用同一个 Jar；没有设置 Client.Jar，或者每次请求重新创建 Jar，都不属于属性匹配错误。标准实现是内存容器，程序重新启动也不会自动恢复上次会话。

观察响应时不要打印完整 Cookie 或 Authorization。记录名称、Domain、Path、Secure 和 SameSite 就足以讨论本文的匹配问题。若请求发生重定向，应关联真正返回 Cookie 的那一跳响应 URL，而不是只看最初输入的网址。

Domain 决定主机范围，Path 决定请求路径

设登录位于 https://login.shop.example.com/auth/login，业务接口位于 https://api.shop.example.com/api/me。二者看起来属于同一业务，却不是同一个主机。没有 Domain 的 Cookie 是 host-only，只面向设置它的主机；显式设置合适父域，才可能覆盖需要共享会话的兄弟子域。

表中假设 Secure 对应 HTTPS，且没有到期删除条件。Domain 不是 URL：不要带协议、端口或路径。为域名前补一个点也不会把任意域变成合法父域，更不能跨公共后缀共享会话。

Path 缺省不等于根目录。来源路径 /auth/login 的默认范围是 /auth；它能匹配 /auth/check，却不能匹配 /api/me，也不能仅凭字符串前缀去匹配 /author。路径匹配包含目录分隔边界。RFC 6265 的域与路径匹配规则解释了这两种不同限制。

图1：主机范围和路径范围是两项独立条件。说明图不是网络抓包，不代表真实服务的配置。

Secure 与 SameSite 不能混为一谈

对本文的远程示例域名，Secure Cookie 不会出现在 HTTP 目标地址的选择结果中。如果登录是 HTTPS，而业务 URL 被拼成 HTTP，优先修正目标地址与部署入口，不要为排障直接取消 Secure。回环地址的特殊处理可能随 Go 版本变化，因此不要用 localhost 的结果推断远程域行为。

SameSite 需要另一个观察坐标：浏览器的站点与请求上下文。标准 Jar 的 Cookies 方法只接收目标 URL，并不接收顶层页面、导航方式等参数；它不能复现浏览器完整的 SameSite 决策。Go 请求能携带 Cookie，不意味着同一登录在浏览器一定成功，反过来也一样。

因此，“跨子域就把 SameSite 改为 None”不是本题的通用修复。跨子域不能简单等同于跨站，而修改 SameSite 也不会修复不合法的 Domain 或不匹配的 Path。涉及浏览器登录时，应单独按应用所需的浏览器行为设计测试；本文的 Go 单元测试只回答 Jar 的 URL 选择问题。

图2：两组节点表示不同观察层。Go 的请求选择测试不能充当浏览器兼容性证明。

用隔离的表驱动测试固定属性边界

将下面代码保存为模块内的 cookie_scope_test.go。它不连接示例域名，只调用 SetCookies 与 Cookies。项目需要已有 golang.org/x/net/publicsuffix 依赖；若尚未引入，应按项目支持的 Go 版本选择兼容版本，并提交 go.mod、go.sum。不要为省略依赖而在正式客户端中去掉公共后缀检查。

package session_test

import (
    "net/http"
    "net/http/cookiejar"
    "net/url"
    "testing"

    "golang.org/x/net/publicsuffix"
)

func TestCookieScope(t *testing.T) {
    // 只操作保留示例域名，不发起网络请求。
    origin, err := url.Parse("https://login.shop.example.com/auth/login")
    if err != nil {
        t.Fatal(err)
    }
    cases := []struct {
        name string
        domain string
        path string
        secure bool
        sameSite http.SameSite
        target string
        want int
    }{
        {"host-only本机", "", "/", true, http.SameSiteLaxMode,
            "https://login.shop.example.com/api/me", 1},
        {"host-only兄弟域", "", "/", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/api/me", 0},
        {"父域共享", "shop.example.com", "/", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/api/me", 1},
        {"兄弟域不能代设", "api.shop.example.com", "/", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/api/me", 0},
        {"默认路径不匹配", "shop.example.com", "", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/api/me", 0},
        {"默认路径匹配", "shop.example.com", "", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/auth/check", 1},
        {"路径前缀非目录边界", "shop.example.com", "/auth", true, http.SameSiteLaxMode,
            "https://api.shop.example.com/author", 0},
        {"远程HTTP不携带Secure", "shop.example.com", "/", true, http.SameSiteLaxMode,
            "http://api.shop.example.com/api/me", 0},
        {"Strict不是Jar浏览器过滤器", "shop.example.com", "/", true, http.SameSiteStrictMode,
            "https://api.shop.example.com/api/me", 1},
    }
    for _, tc := range cases {
        t.Run(tc.name, func(t *testing.T) {
            // 每例独立建Jar，避免相同名称的Cookie相互覆盖。
            jar, err := cookiejar.New(&cookiejar.Options{
                PublicSuffixList: publicsuffix.List,
            })
            if err != nil {
                t.Fatal(err)
            }
            jar.SetCookies(origin, []*http.Cookie{{
                Name: "session", Value: "test-only",
                Domain: tc.domain, Path: tc.path,
                Secure: tc.secure, SameSite: tc.sameSite,
            }})
            target, err := url.Parse(tc.target)
            if err != nil {
                t.Fatal(err)
            }
            got := jar.Cookies(target)
            if len(got) != tc.want {
                // 不输出Cookie值，测试只对比是否可用于该目标URL。
                t.Fatalf("cookie count = %d, want %d", len(got), tc.want)
            }
        })
    }
}

可由读者在自己的模块中执行 go test -run TestCookieScope -v。这里没有展示实际执行日志，也没有声称已在某一 Go 版本运行通过。want 是根据规则写入的测试预期，不是线上采样数据。

每个用例独立建 Jar，避免前一例的同名会话影响下一例。最后一例使用 Strict 仍预期返回一项，只用于界定标准 Jar 的能力，不能据此声称浏览器忽略 SameSite。生产客户端应将同样带公共后缀列表的 Jar 交给共享的 http.Client，而不是为每次请求重建。

修正会话配置时保留最小授权范围

假如产品确实需要两个受控子域共享会话，可以由登录服务设置覆盖这两个子域的最小合适父域，并选择确实覆盖业务接口的 Path。若其他子域不可信，扩大 Domain 就可能扩大凭据暴露面；这时应调整认证设计，而不是把父域范围越放越大。Path 也不是租户或权限隔离机制，服务端仍须校验会话与访问权限。

一次有用的排障记录可以写成：“来源 login.shop.example.com/auth/login；Domain 为 shop.example.com；Path 缺省；目标 api.shop.example.com/api/me；目标选择为空。”这比“Jar 没保存”更接近可修复的问题：同样的父域可以满足主机范围，但默认路径仍不覆盖业务接口。

收尾判断也应保持分层：先确认响应属性是否被允许接收，再确认目标 URL 是否匹配；只在涉及浏览器时讨论其 SameSite 上下文。不要手工复制完整会话头来绕过 Jar 的选择条件，这会掩盖配置错误，并可能把凭据发给错误目标。

参考：Go cookiejar 官方文档与 Options；Go CookieJar 实现；RFC 6265 域和路径匹配规则。实现细节以项目实际使用的 Go 版本源码为准。