cookie购物车不能只存商品id是因为需兼顾容量限制、安全性与可维护性：4kb限制和自动携带导致性能问题，明文存储price/quantity存在安全风险，应仅存cart_id等标识并由后端查库还原；游客场景若存轻量数据须json+base64编码，且严格设置httponly、secure、samesite及path=/、maxage；并发加购需lua脚本保证redis原子性；校验cart_id格式防路径遍历，查不到时生成新id而非静默失败；db持久化应拆表而非jsonb；游客登录需定义合并策略并同步更新前端。
Cookie购物车为什么不能只存商品ID
因为浏览器对单个Cookie有4KB大小限制，且每次HTTP请求都会自动携带所有同域Cookie——如果把整个购物车序列化进cart Cookie，加购10个SKU就可能超限，还会拖慢首屏加载。更关键的是，Cookie默认不加密、可被前端篡改，直接存price或quantity等于裸奔。
- 只存用户标识（如
cart_id）或临时会话密钥，后端查DB/Redis还原购物车 - 若必须存轻量数据（如游客场景），只存
[{"sku_id":"S1001","qty":2}]，用json.Marshal后Base64编码，避免特殊字符破坏Cookie格式 - 务必设置
HttpOnly=true、Secure=true（HTTPS环境）、SameSite=Lax
Set-Cookie时path和max-age怎么配才不出错
常见错误是购物车加购后刷新页面丢失，八成是Path没对齐。比如登录接口返回的cart_id Cookie设了Path=/auth，但商品页在/product下，浏览器根本不会发送这个Cookie。
-
Path统一设为/，确保全站可读（除非明确要隔离路由） -
Max-Age别依赖Expires——Go的http.SetCookie会自动把time.Time转成Expires，但部分旧客户端优先读Max-Age，建议显式设置：MaxAge: 3600（1小时） - 游客购物车生命周期建议短些（如24小时），登录后迁移到用户账户，清空原Cookie
并发加购时Redis原子性怎么保
用户快速点两次“加入购物车”，后端若先GET再SET，大概率覆盖对方操作。用redis.HINCRBY只能增减数量，但加新SKU得判断是否存在——这时候redis.EVAL写Lua是唯一靠谱解法。
const cartScript = `
if redis.call("HEXISTS", KEYS[1], ARGV[1]) == 1 then
return redis.call("HINCRBY", KEYS[1], ARGV[1], ARGV[2])
else
return redis.call("HSET", KEYS[1], ARGV[1], ARGV[2])
end`
- 脚本里
KEYS[1]是cart:123，ARGV[1]是sku_id，ARGV[2]是qty - Go里用
redis.NewScript(1, cartScript).Run(ctx, client, []string{cartKey}, skuID, qty) - 别用
redis.HGETALL拉全量再处理——网络延迟+CPU计算放大并发冲突概率
从Cookie ID查购物车时要注意什么
拿到cart_id后直接查Redis没问题，但容易忽略两点：一是ID可能被恶意构造（如../../../../etc/passwd），二是过期后没兜底逻辑导致panic。
立即学习“go语言免费学习笔记（深入）”；
- 用
regexp.MustCompile(`^[a-zA-Z0-9_-]{12,32}$`)校验cart_id格式，拒绝非法字符串 - Redis查不到时，不要返回空购物车，而是生成新
cart_id并Set-Cookie，否则用户加购动作会静默失败 - DB持久化购物车时，字段别用
JSONB存整个结构——后续按SKU统计、筛选难优化，拆成cart_items独立表更可控
最麻烦的其实是游客到登录态的迁移：Cookie里的cart_id和用户已有的DB购物车怎么合并？这里没有银弹，得按业务定策略——比如以时间新者为准，或数量相加，但必须在登录成功响应里立刻更新Cookie并通知前端刷新购物车角标。
