如何在Go语言中使用Gorilla Sessions框架管理HTTP会话

package main

import (
    "github.com/gorilla/sessions"
    "net/http"
    "time"
)

// 定义强壮、唯一的认证和加密密钥。
// 在生产环境中，强烈建议通过安全方式生成并加载这些密钥，而不是硬编码。
var (
    // authKey 用于认证会话Cookie，防止篡改。
    // 对于HMAC-SHA256，密钥长度至少应为32字节。
    authKey = []byte("a-very-long-and-secure-authentication-key-for-gorilla-sessions-at-least-32-bytes")
    // encKey 用于加密会话数据，保护敏感信息。
    // 对于AES-128、AES-192或AES-256，密钥长度必须分别为16、24或32字节。
    encKey = []byte("a-very-secure-encryption-key-32-bytes-long!")
)

// store 是会话存储实例，配置为使用Cookie。
var store *sessions.CookieStore

func init() {
    store = sessions.NewCookieStore(authKey, encKey)

    // 配置会话的默认选项。这些选项可以在每次会话获取时被覆盖。
    store.Options = &sessions.Options{
        Path:     "/",             // Cookie对所有路径都可用
        MaxAge:   86400 * 7,       // Cookie有效期为7天 (秒)
        HttpOnly: true,            // 阻止客户端JavaScript访问Cookie，增强安全性
        Secure:   false,           // 在生产环境中使用HTTPS时，务必设置为true
        SameSite: http.SameSiteLaxMode, // 启用SameSite保护，防止CSRF攻击
    }
}

// getSession 是一个辅助函数，用于检索现有会话或创建新会话。
func getSession(w http.ResponseWriter, r *http.Request) (*sessions.Session, error) {
    // 第二个参数 "my-app-session" 是会话Cookie的名称。
    session, err := store.Get(r, "my-app-session")
    if err != nil {
        // 在会话检索过程中处理潜在错误，例如Cookie损坏。
        // 在生产环境中，您可能需要记录此错误，并考虑创建一个新的会话。
        // Gorilla Sessions在Cookie无效时通常会返回一个新会话，但错误仍需处理。
        return session, err
    }

    // 如果这是一个新会话，您可以为该会话设置特定的选项。
    // 这些选项将覆盖在store上设置的默认选项。
    if session.IsNew {
        // 示例：设置会话特有的MaxAge或其它选项
        // session.Options.MaxAge = 3600 // 1小时
        // session.Options.Domain = r.Host // 动态设置域名
        // session.Options.Secure = true // 确保在HTTPS环境下为true
    }
    return session, nil
}

func someHandler(w http.ResponseWriter, r *http.Request) {
    session, err := getSession(w, r)
    if err != nil {
        http.Error(w, "获取会话失败: "+err.Error(), http.StatusInternalServerError)
        return
    }

    // 设置会话中的值
    session.Values["user_id"] = 123
    session.Values["username"] = "john.doe"
    session.Values["is_admin"] = true

    // 从会话中检索值并进行类型断言
    if username, ok := session.Values["username"].(string); ok {
        // 使用 username
        _ = username // 抑制未使用的变量警告
    }

    // 检查某个值是否存在
    if _, ok := session.Values["user_id"]; ok {
        // user_id 存在
    }

    // 从会话中删除一个值
    delete(session.Values, "is_admin")

    // ... 您的其他处理逻辑 ...
}

func anotherHandler(w http.ResponseWriter, r *http.Request) {
    session, err := getSession(w, r)
    if err != nil {
        http.Error(w, "获取会话失败: "+err.Error(), http.StatusInternalServerError)
        return
    }

    // 设置一个值