如何在 Go 中正确处理 HTTP Cookie 的过期时间-Golang

http 协议规定，客户端发送的 `cookie` 请求头仅包含名称和值，不携带 `expires`、`max-age` 等元数据；因此 go 的 `http.request.cookie()` 返回的 `*http.cookie` 中 `expires` 字段恒为零值，不可用于读取原始设置的过期时间。

在 Go 的 net/http 包中，http.SetCookie() 会将 Expires 和 MaxAge 字段序列化为响应头中的 Set-Cookie 属性（如 Expires=Mon, 01 Jan 2025 00:00:00 GMT 或 Max-Age=31536000），但浏览器在后续请求中仅回传 Cookie: name=value 形式，绝不附带任何过期信息。这意味着服务端通过 r.Cookie(“token”) 获取的 *http.Cookie 结构体中：

• ✅ Name 和 Value 可靠可用；
• ❌ Expires、MaxAge、Secure、HttpOnly 等字段在请求上下文中始终为零值或默认值（例如 Expires 恒为 time.Time{}，即 0001-01-01 00:00:00 +0000 UTC）。

正确做法：服务端需自行维护过期逻辑

由于无法从请求 Cookie 中还原过期时间，推荐以下两种健壮方案：

✅ 方案一：Token 内嵌有效期（推荐）

将过期时间编码进 token 值本身（如 JWT 或自定义签名 token）：

import "time"

// 设置时写入过期时间戳（Unix 秒）
expiresAt := time.Now().Add(30 * 24 * time.Hour).Unix()
signedToken := fmt.Sprintf("%s|%d|%s", tokenID, expiresAt, sign(tokenID, expiresAt))

// 设置 Cookie（无需依赖 Expires 字段）
http.SetCookie(w, &http.Cookie{
    Name:     "token",
    Value:    signedToken,
    Path:     "/",
    Domain:   "example.com",
    HttpOnly: true,
    Secure:   true,
    SameSite: http.SameSiteStrictMode,
})

验证时解析并校验：