golang-cookbook

Appearance

cookies ​

在 Web 开发中，Cookie 是用于在客户端和服务器之间存储和传递少量数据的一种机制。Cookie 可以用来实现用户登录状态管理、跨页面会话维持等功能。以下是关于 Gin 框架 中如何使用 Cookie 的详细说明。

1. 设置 Cookie ​

在 Gin 中，你可以通过 c.SetCookie 方法设置一个 Cookie。

示例代码 ​

go
package main

import (
	"github.com/gin-gonic/gin"
	"net/http"
)

func main() {
	r := gin.Default()

	r.GET("/set_cookie", func(c *gin.Context) {
		// 设置 Cookie
		c.SetCookie(
			"username",  // Cookie 名称
			"gin_user",  // Cookie 值
			3600,        // 过期时间（秒）
			"/",         // 路径
			"localhost", // 域名
			false,       // 是否开启 HTTPS（Secure）
			true,        // 是否为 HttpOnly
		)
		c.JSON(http.StatusOK, gin.H{
			"message": "Cookie has been set",
		})
	})

	r.Run(":8080")
}

参数说明 ​

  • name: Cookie 的名称。
  • value: Cookie 的值。
  • maxAge: Cookie 的生存时间（秒）。0 表示会话级 Cookie，关闭浏览器后会删除。
  • path: Cookie 所在路径。
  • domain: Cookie 适用的域名。
  • secure: 是否仅在 HTTPS 传输中发送。
  • httpOnly: 是否仅允许通过 HTTP(S) 访问，禁止 JavaScript 访问。

2. 获取 Cookie ​

通过 c.Cookie 方法可以获取指定名称的 Cookie。

示例代码 ​

go
r.GET("/get_cookie", func(c *gin.Context) {
	// 获取指定名称的 Cookie
	cookie, err := c.Cookie("username")
	if err != nil {
		c.JSON(http.StatusNotFound, gin.H{
			"error": "Cookie not found",
		})
		return
	}
	c.JSON(http.StatusOK, gin.H{
		"username": cookie,
	})
})

错误处理 ​

  • 如果 Cookie 不存在，c.Cookie 会返回一个错误。

3. 删除 Cookie ​

删除 Cookie 可以通过设置同名的 Cookie，并将其 maxAge 设置为负数来实现。

示例代码 ​

go
r.GET("/delete_cookie", func(c *gin.Context) {
	// 删除 Cookie
	c.SetCookie(
		"username",
		"",
		-1,      // 负值表示立即删除
		"/",
		"localhost",
		false,
		true,
	)
	c.JSON(http.StatusOK, gin.H{
		"message": "Cookie has been deleted",
	})
})

4. Cookie 的使用场景 ​

  • 用户认证：通过存储用户的会话 ID 实现登录状态管理。
  • 偏好设置：记录用户的语言、主题等偏好。
  • 跟踪用户行为：通过分析 Cookie 数据跟踪用户的访问习惯。

5. Cookie 的安全性 ​

  1. HttpOnly: 设置为 true 可防止 JavaScript 访问，降低 XSS 攻击的风险。
  2. Secure: 设置为 true 确保 Cookie 只能通过 HTTPS 传输，避免被窃取。
  3. 加密敏感数据: 存储前对敏感数据进行加密，避免数据泄露。

你可以使用 github.com/gin-contrib/sessions 或 github.com/gorilla/securecookie 实现加密。

go
import (
	"github.com/gin-gonic/gin"
	"github.com/gorilla/securecookie"
	"net/http"
)

var hashKey = []byte("very-secret") // 替换为更安全的密钥
var blockKey = []byte("a-lot-secret")
var s = securecookie.New(hashKey, blockKey)

func main() {
	r := gin.Default()

	r.GET("/set_secure_cookie", func(c *gin.Context) {
		// 创建加密的 Cookie
		encoded, err := s.Encode("secure_cookie", "secure_value")
		if err != nil {
			c.JSON(http.StatusInternalServerError, gin.H{"error": "Failed to encode cookie"})
			return
		}
		c.SetCookie("secure_cookie", encoded, 3600, "/", "localhost", false, true)
		c.JSON(http.StatusOK, gin.H{"message": "Secure cookie set"})
	})

	r.GET("/get_secure_cookie", func(c *gin.Context) {
		// 解密 Cookie
		cookie, err := c.Cookie("secure_cookie")
		if err != nil {
			c.JSON(http.StatusNotFound, gin.H{"error": "Cookie not found"})
			return
		}

		var value string
		if err := s.Decode("secure_cookie", cookie, &value); err != nil {
			c.JSON(http.StatusInternalServerError, gin.H{"error": "Failed to decode cookie"})
			return
		}
		c.JSON(http.StatusOK, gin.H{"value": value})
	})

	r.Run(":8080")
}

6. Cookie 限制 ​

  • 大小限制：单个 Cookie 的大小通常限制在 4KB。
  • 数量限制：一个域名下最多可设置 20 个 Cookie（浏览器依赖）。
  • 跨域限制：Cookie 默认不能跨域，需设置 SameSite 和 Domain 属性。

通过 Gin 设置和管理 Cookie 是一种轻量且实用的方式，但在实现时需要注意安全性，避免数据泄露或被滥用。