Go http.Cookie 怎样设置 Partitioned 属性

在 Go 中，给 http.Cookie 设置 Partitioned: true，再通过 http.SetCookie 写入响应即可输出 Partitioned 属性。同时要设置 Secure: true；浏览器中的实际保存和发送，还取决于 HTTPS、SameSite、嵌入上下文及客户端支持。

我更倾向于先用一个不涉及身份认证的偏好 Cookie 理解这件事：服务端负责声明属性，浏览器负责存储规则。把这两层分开，便不会将“响应头已经出现 Partitioned”误认为“所有客户端都已实现分区隔离”。

Go 官方地址：https://go.dev/

net/http 文档地址：https://pkg.go.dev/net/http

小项目只保存嵌入组件的显示偏好

设想一个被不同站点嵌入的组件，希望在各自顶层站点下保存独立显示偏好。Partitioned 声明的是分区存储意图，分区键由客户端按顶层站点等规则决定；服务端不需要也不能在该属性后手填“站点A”。

本例保存固定值 dim，不保存账号、令牌或跨站身份。HttpOnly 让页面脚本不能直接读取该 Cookie，适合由服务端使用偏好；若组件必须在脚本里读取值，需要重新考虑接口设计，不能一边保留 HttpOnly 一边期待 document.cookie 能读到它。

准备支持 Partitioned 字段的环境

使用包含该字段的 Go 工具链。Go 1.23 发布说明已介绍 Cookie 的 Partitioned 字段；工程应选择仍受维护且满足部署要求的版本，不能因为示例的最低 API 门槛就长期停留在旧版。

示例只依赖标准库。把下面内容保存为 main.go；它是供读者接入的完整示例，本文没有把代码执行或浏览器存储结果当成已完成的实验。

构造 Cookie 并写入响应

package main

import (
    "fmt"
    "log"
    "net/http"
    "time"
)

// 固定保存非敏感偏好，不把本示例当作登录会话系统。
func preferenceCookie() *http.Cookie {
    return &http.Cookie{
        Name: "__Host-widget-theme",
        Value: "dim",
        Path: "/",
        Secure: true,
        HttpOnly: true,
        SameSite: http.SameSiteNoneMode,
        Partitioned: true,
    }
}

func main() {
    mux := http.NewServeMux()
    mux.HandleFunc("/preference", func(w http.ResponseWriter, r *http.Request) {
        // 这个演示端点只响应 POST；真实跨站接口还需要业务级请求保护。
        if r.Method != http.MethodPost {
            w.Header().Set("Allow", http.MethodPost)
            http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
            return
        }
        c := preferenceCookie()
        if err := c.Valid(); err != nil {
            log.Printf("cookie configuration: %v", err)
            http.Error(w, "cookie configuration error", http.StatusInternalServerError)
            return
        }
        // 必须在写入响应体或最终状态码之前设置 Cookie。
        http.SetCookie(w, c)
        w.Header().Set("Cache-Control", "no-store")
        w.Header().Set("Content-Type", "text/plain; charset=utf-8")
        if _, err := fmt.Fprintln(w, "preference cookie header prepared"); err != nil {
            log.Printf("write response: %v", err)
        }
    })
    // 示例只绑定回环地址，由受信任的 HTTPS 入口转发。
    srv := &http.Server{
        Addr: "127.0.0.1:8080",
        Handler: mux,
        ReadHeaderTimeout: 5 * time.Second,
    }
    log.Fatal(srv.ListenAndServe())
}

这里使用 __Host- 前缀并设置 Path=/，不填写 Domain，让 Cookie 限于设置它的主机。跨站嵌入场景使用 SameSite=None；它与 Partitioned 解决不同问题，不是开启后会自动互相补齐的属性。

我选择固定非敏感值，是为了避免把 Cookie 属性教程顺带变成会话系统。生产中的认证、授权、CSRF 防护和数据保护需要另行设计，Partitioned 不承担这些职责。

把合法性判断和字符串序列化分开

Cookie.String() 会把字段转换成响应头可用字符串；Partitioned 为 true 时会附加该属性。SetCookie 使用相应序列化结果写入响应头，但它并不替调用者执行完整的 Cookie.Valid() 判断。因此示例显式处理了 Valid 返回的错误。

在 Go 的实现中，Partitioned 为 true 而 Secure 为 false 时，Valid 会返回错误。不要通过直接拼接响应头绕过这个组合要求：生成字符串与满足浏览器使用条件不是同一件事。

按本例字段，可预期得到下面形式的头部。它是说明性文本，不是本机抓取结果；属性排列不应成为业务依赖。

Set-Cookie: __Host-widget-theme=dim; Path=/; HttpOnly; Secure; SameSite=None; Partitioned

运行小服务，再接入 HTTPS 入口

# 在保存 main.go 的目录运行演示服务，仅监听回环地址。
go run main.go

# 另一个命令环境可查看服务生成的响应头；这不验证浏览器存储。
curl -i -X POST http://127.0.0.1:8080/preference

读者可以先关注头部是否包含预期属性。上述 HTTP 请求只用于理解服务端输出，不构成 Secure Cookie 在真实浏览器中可用的证明。浏览器使用时，应经受信任证书的 HTTPS 入口访问；反向代理到回环端口并不会改变客户端需要看到的安全外部入口。

若用跨域 fetch 调用，还需按实际请求配置凭据模式和正确的跨域响应策略；Cookie 属性本身不配置 CORS。示例没有展开这些配置，避免把一个字段问题混成完整跨域接入方案。

客户端支持，决定最后的存储行为

支持分区 Cookie 的浏览器按顶层站点等信息隔离相应状态。同一个组件被两个不同顶层站点嵌入时，不能假设它在一个分区保存的值能在另一个分区复用。不同子域也不总意味着不同顶层站点，不能仅按完整主机名字符串来理解分区。

不支持该属性的客户端可能忽略它，或者受自身 Cookie 策略影响而拒绝相关 Cookie。Go 编译成功、Valid 返回 nil、curl 显示头部，都不能证明分区隔离已经成立。若业务依赖隔离，不应静默退回可跨站复用的身份状态；可让组件在无法保存偏好时采用默认显示。

接入时由读者在目标客户端中分别关注响应头、是否被接受、所属分区以及随后请求携带情况。这些是不同观察点，本文的两张配图仅解释配置关系。

Partitioned 要写成 Partitioned=true 吗？

Go 结构体使用布尔字段 true；序列化后的响应属性是 Partitioned 标记，不是把 Go 的布尔赋值原样拼进头部。

请求中的 Cookie 会带回这些属性吗？

常规请求 Cookie 头携带名称和值，不会把 Set-Cookie 的 Secure、SameSite 或 Partitioned 原样回传。服务端不能仅凭读到一个值就认定它来自哪种客户端存储实现。

有 Partitioned 就可以删掉 Secure 吗？

不可以。该配置需要 Secure，Go 的 Valid 也会检查这一组合。应保留属性并正确接入 HTTPS。

对这个小项目，清楚的落点是：Go 对象中同时设置 Partitioned 和 Secure，写响应前处理配置错误，再把 HTTPS 和客户端行为作为独立的接入条件。服务端只声明属性，不能替客户端完成分区存储。

资料：Go Cookie 文档；Go Cookie 实现；Go 1.23 发布说明；MDN 分区 Cookie 说明。