应使用 bcrypt 哈希密码并配合 Redis 管理带过期的 Session Token；bcrypt 需用 DefaultCost（12），存储哈希字符串（≥60 字符）；Cookie 必设 Secure、HttpOnly、SameSite 和 MaxAge；登录态校验须统一中间件，登出需同步失效 Redis key 与 Cookie。
用 bcrypt 做密码哈希，别碰 md5 或 sha256
明文存密码是红线，但随便选个哈希函数也不行。bcrypt 内置盐值和可调慢速因子，能有效抵抗暴力破解。Go 标准库不提供，得用 golang.org/x/crypto/bcrypt。
常见错误：直接 bcrypt.GenerateFromPassword([]byte(pwd), 4) —— 4 太低，实际建议用 bcrypt.DefaultCost（目前是 12），否则容易被 GPU 破解。
- 注册时：用
bcrypt.GenerateFromPassword得到哈希字符串，存进数据库字段（长度至少 60 字符） - 登录比对时：用
bcrypt.CompareHashAndPassword，传入数据库取回的哈希值和用户提交的明文密码，返回nil才算通过 - 别自己拼接盐值、别用
base64编码哈希结果——bcrypt输出本身就是可存储的 ASCII 字符串
用 http.Cookie + Secure/HttpOnly 管理登录态
Session ID 不该放在 URL 或 localStorage 里。最简可行方案是服务端生成随机 token（如 uuid.NewString()），存进 Redis（带过期时间），再通过 http.SetCookie 写入客户端 Cookie。
关键配置漏掉一个就可能被窃取：
-
Secure: true—— 仅 HTTPS 传输（开发时若用 HTTP，得设Secure: false，但上线必须关掉） -
HttpOnly: true—— JS 无法读取，防 XSS 盗 cookie -
SameSite: http.SameSiteStrictMode或http.SameSiteLaxMode—— 防 CSRF -
MaxAge: 3600（秒）比Expires更可靠，尤其跨时区场景
别把用户 ID 或权限直接塞进 cookie 值里签名了事——token 本身只是 lookup key，所有敏感信息必须查服务端存储。
