http 协议规定，客户端发送的 `cookie` 请求头仅包含名称和值，不携带 `expires`、`max-age` 等元数据；因此 go 的 `http.request.cookie()` 返回的 `*http.cookie` 中 `expires` 字段恒为零值，不可用于读取原始设置的过期时间。
在 Go 的 net/http 包中，http.SetCookie() 会将 Expires 和 MaxAge 字段序列化为响应头中的 Set-Cookie 属性（如 Expires=Mon, 01 Jan 2025 00:00:00 GMT 或 Max-Age=31536000），但浏览器在后续请求中仅回传 Cookie: name=value 形式，绝不附带任何过期信息。这意味着服务端通过 r.Cookie("token") 获取的 *http.Cookie 结构体中：
- ✅ Name 和 Value 可靠可用；
- ❌ Expires、MaxAge、Secure、HttpOnly 等字段在请求上下文中始终为零值或默认值（例如 Expires 恒为 time.Time{}，即 0001-01-01 00:00:00 +0000 UTC）。
正确做法：服务端需自行维护过期逻辑
由于无法从请求 Cookie 中还原过期时间，推荐以下两种健壮方案：
✅ 方案一：Token 内嵌有效期（推荐）
将过期时间编码进 token 值本身（如 JWT 或自定义签名 token）：
import "time"
// 设置时写入过期时间戳（Unix 秒）
expiresAt := time.Now().Add(30 * 24 * time.Hour).Unix()
signedToken := fmt.Sprintf("%s|%d|%s", tokenID, expiresAt, sign(tokenID, expiresAt))
// 设置 Cookie（无需依赖 Expires 字段）
http.SetCookie(w, &http.Cookie{
Name: "token",
Value: signedToken,
Path: "/",
Domain: "example.com",
HttpOnly: true,
Secure: true,
SameSite: http.SameSiteStrictMode,
})验证时解析并校验：
func validateToken(s string) (valid bool, expiresAt int64) {
parts := strings.Split(s, "|")
if len(parts) != 3 {
return false, 0
}
exp, err := strconv.ParseInt(parts[1], 10, 64)
if err != nil || time.Now().Unix() > exp {
return false, 0
}
// 验证签名...
return true, exp
}✅ 方案二：服务端存储元数据（如 Redis）
将 token → {value, expires_at, user_id} 映射存于后端存储，每次请求查库校验：
// 伪代码：使用 Redis 存储带 TTL 的 token 元数据 redisClient.Set(ctx, "token:"+tokenID, userDataJSON, 30*24*time.Hour)
⚠️ 注意事项： 不要依赖 cookie.Expires 或 cookie.MaxAge 在请求中做时效判断； http.Cookie.MaxAge 字段在 Set-Cookie 中优先级高于 Expires，但同样不会被客户端回传； 若需调试 Set-Cookie 头内容，可用 curl -v 或浏览器开发者工具的 Network → Headers 查看响应头，确认 Expires 或 Max-Age 已正确下发。
总之，Cookie 过期是单向协商机制：服务端设定，客户端遵守，但不反馈。真正的时效控制必须由服务端主动实现——或嵌入 token，或查库验证。
