不能直接用 http.Request 存用户登录状态，因为HTTP无状态，req.Context()或临时变量无法跨请求保留；必须通过Set-Cookie下发session_id，并在服务端持久化存储、校验、销毁。
为什么不能直接用 http.Request 存用户登录状态
HTTP 是无状态协议，每次请求都是独立的。把用户 ID 写进 req.Context() 或临时变量里，下一次请求就丢了。真正有效的会话必须绑定到客户端（通常是通过 Cookie），并在服务端可查、可续、可销毁。
常见错误是手动拼 session_id 字符串、用全局 map 存 session 数据——这在多实例部署时立即失效，且没有过期清理机制。
- 必须通过
Set-Cookie响应头下发唯一session_id - 服务端需持久化存储该 ID 对应的用户数据（如 user_id、login_at、expires_at）
- 每次请求都要校验
session_id是否存在、未过期、签名是否被篡改
用 gorilla/sessions 快速启用基于 Cookie 的会话
这是目前最稳定、文档最清晰的 Go 会话库，支持内存、Redis、PostgreSQL 等多种后端，且默认开启 HMAC 签名防篡改。
基础用法只需三步：
- 初始化 store：
store := sessions.NewCookieStore([]byte("your-secret-key"))（密钥至少 32 字节） - 在 handler 中获取 session：
session, _ := store.Get(r, "my-session") - 写入并保存：
session.Values["user_id"] = 123; session.Save(r, w)
注意：session.Save() 必须在写响应体之前调用，否则 Cookie 不会下发；若用 HTTPS，记得设置 session.Options.HttpOnly = true 和 Secure = true。
把 session 存到 Redis 而不是内存里
本地内存 store（NewCookieStore）只适合单机开发。生产环境必须用 Redis，否则负载均衡下用户反复登录。
