Go net/http Cookie.Partitioned 怎样设置分区 Cookie

如果 Go 服务需要发送带 Partitioned 属性的 Cookie，直接给 http.Cookie 设置 Partitioned: true，再交给 http.SetCookie 写入响应即可。它只负责生成属性，不会替你决定 Cookie 是否能跨站使用；实际配置通常还要同时考虑 Secure、SameSite=None、Path 和浏览器端的存储规则。

结论：Go 1.23 起可以用 Cookie.Partitioned 生成 Partitioned。生产配置建议把它和 Secure、SameSite=None 一起明确写出，并先用 Cookie.String() 检查最终的 Set-Cookie 文本。

本文要点：字段与响应头的对应关系、可直接复用的 Go 写法、属性之间的边界，以及旧版本兼容方案。

Cookie.Partitioned 对应什么输出

Partitioned 是 Cookie 属性，不是 Name 或 Value 的内容。Go 的 http.Cookie.String() 会把它序列化为响应头末尾的 Partitioned 标记；当字段为 false 时不会输出。这个区别很重要：如果把字符串直接拼进 Cookie 值，浏览器看到的只是值的一部分，而不是独立属性。

最小可用写法如下。代码中的注释只标出关键属性和错误边界，便于把它放进处理器或中间件：

package main

import (
	"net/http"
)

func writeSessionCookie(w http.ResponseWriter, value string) {
	// Partitioned 是属性开关，不要把它拼接到 Value 中。
	cookie := &http.Cookie{
		Name:       "session_id",
		Value:      value,
		Path:       "/",
		Secure:     true, // 分区 Cookie 通常只允许通过 HTTPS 发送。
		HttpOnly:   true, // 会话标识不需要被前端脚本读取。
		SameSite:   http.SameSiteNoneMode,
		Partitioned: true, // 序列化为 Set-Cookie 的 Partitioned 属性。
	}

	// SetCookie 负责写入响应头；调用前不要先写响应体。
	http.SetCookie(w, cookie)
}

如何检查最终的 Set-Cookie

排查时先看序列化结果，而不是只看结构体字段。Cookie.String() 返回的是适合放入响应头的文本，可以在单元测试中检查关键属性是否出现。它不是浏览器兼容性证明，但能快速发现字段没有写入、名称非法或属性组合遗漏。

func cookieHeader(value string) string {
	// 用同一组配置生成可复制到测试断言中的响应头值。
	c := &http.Cookie{
		Name:        "embed_token",
		Value:       value,
		Path:        "/",
		Secure:      true,
		HttpOnly:    true,
		SameSite:    http.SameSiteNoneMode,
		Partitioned: true,
	}
	// String 返回空字符串时，说明 Name 或其他输入不满足序列化条件。
	return c.String()
}

期望看到的形态类似下面这样，具体的值应由服务端生成：

embed_token=opaque-value; Path=/; HttpOnly; Secure; SameSite=None; Partitioned

Secure、SameSite=None 与 Partitioned 的边界

这三个属性解决的不是同一个问题。Secure限制发送通道，SameSite=None表达允许在跨站场景中携带，Partitioned则要求浏览器把 Cookie 放在按顶级站点分区的存储上下文中。Go 只负责把这些声明写进响应头，是否接受、保存和发送仍由客户端实现决定。

因此不要把 Partitioned 当成 CSRF 防护的完整替代品，也不要因为设置了它就放宽服务端的来源校验。对写操作仍应保留身份校验、请求来源检查和必要的业务幂等控制。若只服务同站请求，启用它反而会让排障更复杂，应先确认业务确实需要跨站嵌入或类似场景。

版本兼容与排查清单

Cookie.Partitioned 在 Go 1.23 中加入。需要支持更早工具链时，不能直接引用该字段，否则会在编译阶段失败。可以把设置动作集中在一个按 Go 版本构建的适配层，或暂时只发送旧版本能理解的属性；不要在运行时用字符串反射伪造标准库字段。

• 先确认编译器和部署环境的 Go 版本，再决定是否使用字段。
• 查看响应头是否同时包含 Secure、SameSite=None、Path 和 Partitioned。
• 不要把真实会话值写入日志；测试时使用固定的假值，并只断言属性顺序无关的关键片段。
• 区分“服务端没有发出属性”和“浏览器因策略没有保存或发送”，两者应分别检查。

相关问题

Partitioned 是否等于允许所有跨站请求携带 Cookie？

不是。它是存储分区属性，仍受 Secure、SameSite、浏览器策略和请求上下文共同影响。

只设置 Partitioned 不设置 Secure 可以吗？

不要把它作为生产方案。分区 Cookie 的使用场景通常要求安全传输，代码应显式设置 Secure，并在 HTTPS 环境中验证整条链路。