Go Gorilla 框架会话管理：深度解析与实践指南

package main

import (
    "github.com/gorilla/sessions"
    "net/http"
)

// 定义认证密钥和加密密钥。
// 在生产环境中，这些密钥应该从安全的环境变量或配置文件中加载，并且足够长且随机。
var authKey = []byte("super-secret-authentication-key-that-is-at-least-32-bytes-long")
var encKey = []byte("super-secret-encryption-key-that-is-at-least-32-bytes-long")

// 创建一个新的 CookieStore 实例。
var store = sessions.NewCookieStore(authKey, encKey)

func init() {
    // 配置会话存储的默认选项，这些选项将应用于所有通过此存储创建的会话。
    // 也可以在每个会话对象上单独设置 session.Options。
    store.Options = &sessions.Options{
        Path:     "/",
        MaxAge:   86400 * 7, // 会话有效期为 7 天
        HttpOnly: true,      // 阻止 JavaScript 访问 Cookie
        Secure:   true,      // 仅在 HTTPS 连接中发送 Cookie
        SameSite: http.SameSiteLaxMode, // 增强 CSRF 防护
    }

    // 注册路由等...
    // http.HandleFunc("/", HomeHandler)
}

// initSession 是一个辅助函数，用于统一获取和初始化会话。
func initSession(r *http.Request) *sessions.Session {
    // "my_session_name" 是会话的名称，它将作为 Cookie 的名称。
    session, err := store.Get(r, "my_session_name")
    if err != nil {
        // 在生产环境中，应记录此错误并进行适当处理，例如返回错误页面或重定向。
        // 简单的会话获取错误通常意味着 Cookie 损坏或密钥不匹配，可能需要清除旧 Cookie。
        // 这里为了演示目的，我们只是打印错误，并继续使用可能无效的会话对象。
        // c.Errorf("Error getting session: %v", err) // 如果使用 appengine.Context
        // log.Printf("Error getting session: %v", err) // 普通 Go 应用
    }

    // 如果是新会话，可以设置一些默认的 Cookie 选项。
    // 注意：如果 store.Options 已经设置，这里可以覆盖或补充。
    if session.IsNew {
        // 示例：设置会话在浏览器关闭时过期
        // session.Options.MaxAge = 0
        // 示例：确保 Secure 属性在非 HTTPS 环境下也能测试，但在生产中应始终为 true
        // session.Options.Secure = false
    }
    return session
}

func HomeHandler(w http.ResponseWriter, r *http.Request) {
    session := initSession(r)

    // 从会话中获取数据
    username, ok := session.Values["username"].(string)
    if !ok {
        username = "Guest"
    }

    // 向会话中设置数据
    session.Values["username"] = "Alice"
    session.Values["loginTime"] = "2023-10-27 10:00:00"

    // ... 其他业务逻辑 ...
}

func HomeHandler(w http.ResponseWriter, r *http.Request) {
    session := initSession(r)

    // 设置会话值
    session.Values["page"] = "home"
    session.Values["message"] = "Welcome back!"

    // ... 渲染模板或执行其他操作 ...
    // 例如：template.ExecuteTemplate(w, "index.html", nil)

    // 务必在所有对会话的修改完成后，且在写入任何响应体之前调用 Save 方法。
    // Save 方法会修改响应头。
    if err := session.Save(r, w); err != nil {
        http.Error(w, "Failed to save session", http.StatusInternalServerError)
        // log.Printf("Error saving session: %v", err)
        return
    }

    // 成功保存会话后，可以继续发送响应体
    w.Write([]byte("Session saved successfully!"))
}

package main

import (
    "fmt"
    "github.com/gorilla/sessions"
    "log"
    "net/http"
    "time"
)

// 定义认证密钥和加密密钥
var authKey = []byte("this-is-a-very-secret-and-long-authentication-key-for-gorilla")
var encKey = []byte("this-is-another-very-secret-and-long-encryption-key-for-gorilla")

// 创建 CookieStore 实例
var store = sessions.NewCookieStore(authKey, encKey)

func init() {
    // 配置会话存储的默认选项
    store.Options = &sessions.Options{
        Path:     "/",
        MaxAge:   3600, // 会话有效期为 1 小时
        HttpOnly: true,
        Secure:   false, // 生产环境应设置为 true
        SameSite: http.SameSiteLaxMode,
    }
}

// initSession 辅助函数，用于获取或创建会话
func initSession(r *http.Request) *sessions.Session {
    session, err := store.Get(r, "my_app_session")
    if err != nil {
        log.Printf("Error getting session: %v", err)
        // 可以在这里处理错误，例如返回一个空的 session 或特定的错误会话
    }

    // 如果是新会话，可以设置一些特定的选项
    if session.IsNew {
        log.Println("New session created.")
        // 覆盖默认选项，例如为新会话设置不同的 MaxAge
        // session.Options.MaxAge = 600 // 新会话 10 分钟后过期
    }
    return session
}

// HomeHandler 处理根路径请求
func HomeHandler(w http.ResponseWriter, r *http.Request) {
    session := initSession(r)

    // 尝试从会话中获取访问计数
    visits, ok := session.Values["visits"].(int)
    if !ok {
        visits = 0
    }
    visits++
    session.Values["visits"] = visits
    session.Values["last_visit"] = time.Now().Format(time.RFC3339)

    // 获取用户名称，如果不存在则设置为默认值
    username, ok := session.Values["username"].(string)
    if !ok {
        username = "Guest"
        session.Values["username"] = "User-" + fmt.Sprintf("%d", time.Now().UnixNano()%1000)
    }

    // 务必保存会话
    if err := session.Save(r, w); err != nil {
        http.Error(w, "Failed to save session", http.StatusInternalServerError)
        log.Printf("Error saving session: %v", err)
        return
    }

    fmt.Fprintf(w, "Hello, %s! You have visited this page %d times.\n", username, visits)
    fmt.Fprintf(w, "Your last visit was: %v\n", session.Values["last_visit"])
    fmt.Fprintf(w, "Session ID: %s\n", session.ID) // Session ID 仅在保存后可用
}

func main() {
    http.HandleFunc("/", HomeHandler)
    log.Println("Server starting on :8080")
    log.Fatal(http.ListenAndServe(":8080", nil))
}