Go net/http Cookie 怎样设置 SameSite 与 MaxAge

我在 Go 服务里第一次同时处理登录态和跨站回调时，最容易混淆的是：SameSite 决定浏览器在跨站请求中是否带 Cookie，MaxAge 决定 Cookie 的存活策略。它们不是一回事，也不能用把 MaxAge 设大来解决跨站不发送。

直接做法是创建 http.Cookie，分别设置 SameSite 和 MaxAge，再调用 http.SetCookie 写入响应。短期会话通常用 SameSiteLaxMode 与 MaxAge: 0；需要跨站使用时才考虑 SameSiteNoneMode，并同时打开 Secure。

先把两个字段放进同一个响应

下面的处理器把 Cookie 设为 30 分钟有效，并采用 Lax 策略。MaxAge 的单位是秒，不是毫秒；SameSite 则由枚举值表达。

package main

import "net/http"

func login(w http.ResponseWriter, r *http.Request) {
	// 30 分钟后过期；MaxAge 为正数时会生成 Max-Age 属性。
	cookie := &http.Cookie{
		Name:     "session_id",
		Value:    "opaque-session-value",
		Path:     "/",
		MaxAge:   30 * 60,
		HttpOnly: true,
		Secure:   true,
		SameSite: http.SameSiteLaxMode,
	}

	// SetCookie 会把 Cookie 序列化为响应头中的 Set-Cookie。
	http.SetCookie(w, cookie)
	w.WriteHeader(http.StatusNoContent)
}

这段代码的关键不是字段数量，而是职责分开：SameSiteLaxMode 处理跨站发送边界，MaxAge: 1800 处理持久化时间，HttpOnly 和 Secure 则分别限制脚本读取与非 HTTPS 传输。Cookie 的值应当是不可直接推断的会话标识，不要把敏感信息原文塞进去。

SameSite 怎么选，取决于请求关系

我通常先问“这个请求是否真的需要跨站携带登录态”，再选模式，而不是先复制某个固定配置。

• SameSiteDefaultMode：不显式输出 SameSite 属性，把行为交给浏览器默认策略。需要稳定表达策略时，我不会把它当成明确的安全选择。
• SameSiteLaxMode：适合普通站点登录态，限制一部分跨站请求，同时保留较常见的导航场景。
• SameSiteStrictMode：跨站限制更严格，适合不希望跨站导航带上 Cookie 的敏感会话，但可能让用户从外站进入时体验变差。
• SameSiteNoneMode：表示允许跨站使用。它应与 Secure: true 一起配置，并且实际部署要使用 HTTPS。

因此，后端和前端同站协作时优先评估 Lax 或 Strict；第三方登录、嵌入式场景或跨站接口确实需要 Cookie 时，才使用 None。None 不是“兼容性开关”，它扩大了 Cookie 的发送范围，仍要配合 CSRF 防护和明确的来源控制。

MaxAge 的三个值分别代表什么

MaxAge 很适合用来表达会话状态，但删除时的负值语义尤其容易漏掉。Go 的 Cookie 结构约定如下：

删除时不能只写 MaxAge: -1 就结束，还要让 Name、Path、必要时的 Domain 与原 Cookie 对齐，否则浏览器可能把它当成另一条 Cookie。

func logout(w http.ResponseWriter, r *http.Request) {
	// 删除必须匹配原 Cookie 的 Name 和 Path；负 MaxAge 会输出 Max-Age=0。
	cookie := &http.Cookie{
		Name:     "session_id",
		Value:    "",
		Path:     "/",
		MaxAge:   -1,
		HttpOnly: true,
		Secure:   true,
		SameSite: http.SameSiteLaxMode,
	}

	// 与创建时使用同一组范围属性，避免删除错路径的 Cookie。
	http.SetCookie(w, cookie)
	w.WriteHeader(http.StatusNoContent)
}

我会保留的配置检查表

实际排查 Cookie 不生效时，我会按下面的取舍表看，而不是只盯着 Max-Age：

如果浏览器表现与预期不同，先检查服务端实际发出的 Set-Cookie 属性，再检查请求是否跨站、是否 HTTPS、路径是否匹配。不要把“浏览器没有带 Cookie”和“Cookie 已过期”当成同一个问题。

相关问题

MaxAge 和 Expires 要同时设置吗？

这个问题要看客户端兼容和业务策略。本文只讨论 Go 的 MaxAge 语义；如果还设置 Expires，应保证两者表达的有效期一致，避免排查时出现两个时间来源。

SameSiteNoneMode 为什么经常和 Secure 一起出现？

因为跨站 Cookie 的部署场景通常要求安全传输。Go 会分别序列化 SameSite 和 Secure，代码上要显式设置，部署上要确保请求确实走 HTTPS。

资料来源：https://pkg.go.dev/net/http#Cookie、https://pkg.go.dev/net/http#SameSite