Golang 大猩猩/会话

Question

我正在尝试使用用户登录构建一个简单的 Web 应用程序。

我在这里的另一篇文章中发现了这个功能。

func initSession(r *http.Request) *sessions.Session {
    session, _ := store.Get(r, "mBoxStore")
    if session.IsNew {
        session.Options.Domain = "localhost"
        session.Options.MaxAge = 10
        session.Options.HttpOnly = false
        session.Options.Secure = false
        log.Println("Create New Session (cookie)")
    } else {
        log.Println("Use Old Session (old cookie)")
    }
    return session
}

cookie 在10 seconds 之后过期，但是当我重新加载页面时，例如1 Minute 它使用旧的（过期的）cookie。

在我的浏览器 (Firefox) 中，我看到了过期日期正确的 cookie。

我认为它应该使用新的 cookie 创建一个新会话，否则它是错误的？

有什么建议吗？

Answer 1

您看到Use Old Session (old cookie) 的原因是，会话选项仅在首次创建 cookie 时设置。每次您访问 cookie before 时，它都会过期 (isNew == false) Options 不会被设置，默认值会覆盖您在创建会话时设置的那些。默认MaxAge 为86400 * 30（一个月）。

您可以通过以下方式验证这一点：

1. 清除站点的所有 cookie（即 localhost）
2. 在浏览器中显示路线
3. 检查新创建的 cookie 的到期日期 - 您会看到现在是 + 10 秒
4. 等待 10 秒。
5. 刷新页面 - 您的日志应该确认它是一个新的 cookie。
6. 现在在 cookie 过期之前（即 10 秒内）刷新页面
7. 您会看到到期时间为现在 + 1 个月（默认）。

这就是为什么我建议在应用程序启动时设置一次会话选项。仅当您出于身份验证安全目的而设置较短的 cookie 生命周期时才会偏离，并且在这些情况下使用不同的会话名称（即 _csrf_token，有效期为 4 小时）。

您使用的代码 sn-p 也不是很理想，因为它完全忽略了尝试检索会话时遇到的任何错误。如果您的底层会话存储被破坏和/或用户禁用了 cookie，您可能会遇到错误。