Cookie 设置成功但请求没有携带的原因

我在排查 Go 登录接口时遇到过一个很容易误判的现象：登录响应里明明有 Set-Cookie，下一次调用用户接口却像“没有登录”。先给结论：响应设置 Cookie 和后续请求携带 Cookie 是两件事。如果 http.Client 没有配置 CookieJar，标准库不会替你把响应 Cookie 保存并自动放进下一次请求；即使配置了 Jar，域名、Path、Secure 等作用域不匹配时也会按规则过滤。

官方地址：https://pkg.go.dev/net/http

先看 Cookie 到底走哪条路

HTTP 响应中的 Set-Cookie 属于“服务器告诉客户端如何保存”的响应头；下一次请求要发送的是名为 Cookie 的请求头。两者之间需要一个保存和筛选环节，通常就是 http.Client.Jar。只使用 http.DefaultClient 发请求时，默认客户端的 Jar 为空，因此登录接口返回成功并不等于客户端拥有会话状态。

用 CookieJar 让响应自动进入下一次请求

跨请求保持 Cookie 时，可以创建一个 Jar，并把它交给同一个 Client。后续请求仍然要使用这个 Client；如果每次调用都重新创建 Client，保存的会话状态也会被分开。

package main

import (
    "fmt"
    "net/http"
    "net/http/cookiejar"
)

func callWithSession(loginURL, profileURL string) error {
    // Jar 负责保存响应中的 Set-Cookie，并按请求 URL 选择可发送的 Cookie。
    jar, err := cookiejar.New(nil)
    if err != nil {
        return fmt.Errorf("创建 CookieJar 失败: %w", err)
    }
    client := &http.Client{Jar: jar}

    // 登录响应里的 Cookie 会由 Client 写入 Jar；这里不手动复制响应头。
    loginReq, err := http.NewRequest(http.MethodPost, loginURL, nil)
    if err != nil {
        return fmt.Errorf("创建登录请求失败: %w", err)
    }
    loginResp, err := client.Do(loginReq)
    if err != nil {
        return fmt.Errorf("登录请求失败: %w", err)
    }
    loginResp.Body.Close() // 读取完响应后及时释放连接资源。

    // 同一个 Client 发起后续请求，Jar 才有机会按 URL 规则附加 Cookie。
    profileReq, err := http.NewRequest(http.MethodGet, profileURL, nil)
    if err != nil {
        return fmt.Errorf("创建资料请求失败: %w", err)
    }
    profileResp, err := client.Do(profileReq)
    if err != nil {
        return fmt.Errorf("资料请求失败: %w", err)
    }
    defer profileResp.Body.Close() // 真实代码中还应读取或丢弃响应体。
    return nil
}

这里的关键不是“调用了登录接口”，而是两个请求共享同一个 Client。CookieJar 会根据目标 URL 和 Cookie 属性决定是否发送；它不是无条件复制所有 Cookie 的全局变量。

检查 URL 作用域与 Secure 属性

如果已经配置 Jar 仍然没有 Cookie，先不要改成手动拼接请求头。对照登录响应中的属性检查四件事：请求域名是否匹配 Cookie 的 Domain，路径是否落在 Path 范围内，Cookie 是否带有 Secure，以及当前请求是否使用 HTTPS。作用域不满足时，Jar 不发送是正常行为。

还要注意重定向和测试环境：登录地址可能是 api.example.test，资料地址却是另一个主机；Cookie 的 Path 也可能只覆盖 /auth，不覆盖 /user。这类情况不是 Go 丢 Cookie，而是 Cookie 本来就不适用于目标请求。

不使用 Jar 时，用 AddCookie 明确绑定一次请求

有些场景只需要给一次请求带上已知 Cookie，或者请求由底层 Transport 自己管理。这时可以直接用 Request.AddCookie，但要让 Cookie 的名称和值来自可信的会话数据，不要把完整的 Set-Cookie 响应头原样塞进请求。

func requestOnce(url, sessionID string) (*http.Response, error) {
    req, err := http.NewRequest(http.MethodGet, url, nil)
    if err != nil {
        return nil, err
    }
    // AddCookie 只把一个 Cookie 绑定到当前请求，不会替你维护后续会话。
    req.AddCookie(&http.Cookie{Name: "session_id", Value: sessionID})
    return http.DefaultClient.Do(req)
}

一次性绑定适合明确的单请求控制；需要登录、跳转、刷新和多次调用的会话，使用同一个带 Jar 的 Client 更不容易漏掉状态。不要混用多个 Client，也不要把 Cookie 保存到全局变量后跨用户复用。

常见问题

为什么我能从响应里读到 Set-Cookie，下一次请求还是没有 Cookie？

最常见原因是 Client 没有 Jar，或读取响应后换了一个新的 Client。先确认请求链路共享同一个 http.Client。

CookieJar 配好了，为什么本地 HTTP 请求仍不发送？

检查 Cookie 是否带 Secure。这类 Cookie 通常只适用于 HTTPS；同时核对 Domain 和 Path 是否覆盖当前请求 URL。

能不能直接把 Set-Cookie 放到 Cookie 请求头？

不建议。Set-Cookie 是响应头格式，客户端请求应通过 CookieJar 或 AddCookie 生成请求 Cookie，避免把属性段和多个 Cookie 的格式混在一起。