Go语言net/http包：服务器端正确设置HTTP Cookie的教程

理解HTTP Cookie及其作用

http cookie（通常简称为cookie）是服务器发送到用户浏览器并保存在本地的一小段文本信息。每当浏览器后续向同一服务器发送请求时，都会将该cookie信息发送回服务器。cookie主要用于以下目的：

• 会话管理： 跟踪用户的登录状态、购物车内容等。
• 个性化： 记住用户的偏好设置，如语言、主题等。
• 跟踪： 记录用户的行为，用于分析或广告。

在Go语言中，net/http包提供了强大的功能来构建HTTP服务器和客户端，其中包括对Cookie的完善支持。

Go服务器端设置Cookie的常见误区

许多初学者在尝试使用Go语言设置Cookie时，可能会遇到一个常见的误区：试图将Cookie添加到http.Request对象中。例如，以下代码片段展示了这种错误的做法：

// 错误的示例：尝试将Cookie添加到http.Request
func indexHandler(w http.ResponseWriter, req *http.Request) {
    expire := time.Now().AddDate(0, 0, 1)
    cookie := http.Cookie{
        Name:    "test",
        Value:   "tcookie",
        Path:    "/",
        Domain:  "www.domain.com",
        Expires: expire,
        HttpOnly: true,
        Secure:   true,
    }
    req.AddCookie(&cookie) // 错误！Cookie应该设置在响应上
    io.WriteString(w, "Hello world!")
}

这里的问题在于，http.Request对象代表的是客户端发送到服务器的请求。它包含客户端已经发送过来的Cookie。而我们想要实现的是服务器将Cookie发送回客户端，这需要操作http.ResponseWriter对象，该对象负责构建服务器的响应。将Cookie添加到req.AddCookie并不会将Cookie发送给客户端，它只会影响当前请求对象对Cookie的内部管理，这显然不是我们期望的结果。

正确姿势：使用http.SetCookie函数

在Go语言中，正确地从服务器端设置Cookie需要使用net/http包提供的http.SetCookie函数。这个函数接收两个参数：一个http.ResponseWriter和一个*http.Cookie指针。

立即学习“go语言免费学习笔记（深入）”；

func SetCookie(w ResponseWriter, cookie *Cookie)

LibLib AI

中国领先原创AI模型分享社区，拥有LibLib等于拥有了超多模型的模型库、免费的在线生图工具，不考虑配置的模型训练工具

647

查看详情

该函数会将一个Set-Cookie头部添加到HTTP响应中，指示客户端浏览器设置或更新相应的Cookie。

下面是一个完整的、正确的Go语言HTTP服务器设置Cookie的示例：

package main

import (
    "fmt"
    "net/http"
    "time"
)

// indexHandler 处理根路径的HTTP请求
func indexHandler(w http.ResponseWriter, req *http.Request) {
    // 1. 创建一个http.Cookie对象
    // Cookie的过期时间设置为当前时间加24小时
    expiration := time.Now().Add(24 * time.Hour)

    cookie := http.Cookie{
        Name:     "user_session",       // Cookie的名称
        Value:    "abcdef123456",       // Cookie的值
        Path:     "/",                  // Cookie的有效路径，"/"表示对所有路径都有效
        // Domain:   "example.com",        // Cookie的有效域名，通常留空表示当前域名
        Expires:  expiration,           // Cookie的过期时间
        HttpOnly: true,                 // 设置为true，禁止客户端JavaScript访问Cookie，增强安全性
        Secure:   false,                // 设置为true，Cookie只通过HTTPS发送，增强安全性（开发环境可设为false）
        SameSite: http.SameSiteLaxMode, // 防止跨站请求伪造（CSRF）攻击，推荐设置
    }

    // 2. 使用http.SetCookie将Cookie添加到HTTP响应中
    http.SetCookie(w, &cookie)

    // 3. 向客户端发送响应内容
    fmt.Fprintf(w, "Hello, world! Cookie 'user_session' has been set.")
}

func main() {
    // 注册HTTP请求处理器
    http.HandleFunc("/", indexHandler)

    // 启动HTTP服务器监听8080端口
    fmt.Println("Server started on :8080")
    err := http.ListenAndServe(":8080", nil)
    if err != nil {
        fmt.Printf("Server failed to start: %v\n", err)
    }
}

运行上述代码后，访问http://localhost:8080，你的浏览器将会收到一个名为user_session的Cookie。你可以通过浏览器的开发者工具查看该Cookie是否成功设置。

http.Cookie结构体关键字段解析

http.Cookie结构体定义了Cookie的各种属性，理解这些属性对于正确和安全地使用Cookie至关重要：

• Name (string): Cookie的名称，必填。
• Value (string): Cookie的值，必填。
• Path (string): Cookie的有效路径。默认是/，表示对整个域名下的所有路径都有效。如果设置为/foo，则只对/foo及其子路径有效。
• Domain (string): Cookie的有效域名。如果为空，则默认为当前请求的域名。设置特定域名可以使Cookie在子域名之间共享（例如，.example.com可以在www.example.com和blog.example.com之间共享）。
• Expires (time.Time): Cookie的过期时间。一旦到达此时间，浏览器将删除Cookie。如果未设置或设置为零值，则Cookie在浏览器会话结束时（即关闭浏览器）失效，称为会话Cookie。
• MaxAge (int): Cookie的最大存活时间，以秒为单位。这是一个替代Expires的现代属性。如果同时设置Expires和MaxAge，MaxAge通常优先。正值表示Cookie将在指定秒数后过期；零值表示删除Cookie；负值表示会话Cookie。
• HttpOnly (bool): 如果设置为true，则禁止客户端JavaScript通过document.cookie等方式访问该Cookie，从而有效防止跨站脚本（XSS）攻击窃取Cookie。强烈建议对敏感Cookie（如会话ID）设置为true。
• Secure (bool): 如果设置为true，则Cookie只会在通过HTTPS协议发送请求时才会被发送到服务器。这可以防止Cookie在不安全的HTTP连接中被窃听。在生产环境中处理敏感信息时，务必设置为true。
• SameSite (http.SameSite): 用于防止跨站请求伪造（CSRF）攻击。它有三个可能的值：
  • http.SameSiteDefaultMode (或不设置): 默认行为，通常等同于Lax。
  • http.SameSiteLaxMode: 允许在顶级导航和GET请求中发送Cookie，但在其他跨站请求中不发送。这是推荐的默认设置。
  • http.SameSiteStrictMode: 只有当请求是同站请求时才发送Cookie。
  • http.SameSiteNoneMode: Cookie会在所有跨站请求中发送，但必须同时设置Secure: true。

注意事项与最佳实践

1. 安全性：
   • 对于包含敏感信息的Cookie（如会话ID），务必设置HttpOnly: true和Secure: true。
   • 合理设置SameSite属性以防御CSRF攻击。
   • 不要在Cookie中存储未经加密的敏感用户数据。
2. 过期时间： 根据Cookie的用途设置合理的Expires或MaxAge。会话Cookie（不设置过期时间）在浏览器关闭时失效，适合临时性数据；持久性Cookie则适合记住用户偏好。
3. 作用域： 精确设置Path和Domain以控制Cookie的可见范围。避免设置过于宽泛的Path和Domain，以减少不必要的Cookie发送和潜在的安全风险。
4. Cookie大小： 浏览器对单个Cookie的大小和单个域名下的Cookie数量都有限制（通常单个Cookie不超过4KB，每个域名不超过20-50个Cookie）。避免在Cookie中存储大量数据。
5. 删除Cookie： 要删除一个Cookie，可以设置一个同名Cookie，并将其Expires设置为一个过去的日期，或者将其MaxAge设置为-1。

总结

在Go语言的net/http包中，从服务器端设置HTTP Cookie的关键在于理解http.ResponseWriter的角色，并正确使用http.SetCookie函数。通过实例化http.Cookie结构体并配置其各项属性（如Name, Value, Expires, HttpOnly, Secure, SameSite等），开发者可以精确控制Cookie的行为和安全性。遵循本文提供的指导和最佳实践，将有助于构建健壮、安全的Web应用程序。

以上就是Go语言net/http包：服务器端正确设置HTTP Cookie的教程的详细内容，更多请关注php中文网其它相关文章！