Cookie 隔离

Go 的 Cookie 隔离，关键不是给 Cookie 名字加前缀，而是把每个独立登录会话放进自己的 cookiejar.Jar，再让 http.Client 只绑定这一份 Jar。Cookie 是否自动带出，仍由 URL 的 scheme、域名和 path 匹配决定；api.example.com 与 other.example.net 不会因为共用进程就互相发送 Cookie，但同一个 Jar 下的多个账号一定可能串状态。

先把 CookieJar 和账号会话一一对应

标准库的 CookieJar 是内存状态容器，http.Client 会在请求前从 Jar 取匹配的 Cookie，并在响应后把 Set-Cookie 写回去。因此，最容易出现的错误是把一份 Jar 放在包级变量里，让账号 A 登录后又被账号 B 复用。

更稳妥的做法是把 Jar 和 Client 一起封装成会话对象。下面的示例还用 publicsuffix.List，避免测试配置因为缺少公共后缀表而放宽域名边界：

package session

import (
    "net/http"
    "net/http/cookiejar"

    "golang.org/x/net/publicsuffix"
)

// NewClient 为一个账号创建独立的 Cookie 状态，不能在多个账号间复用。
func NewClient() (*http.Client, error) {
    // 公共后缀表用于阻止跨注册域写入 Cookie。
    jar, err := cookiejar.New(&cookiejar.Options{
        PublicSuffixList: publicsuffix.List,
    })
    if err != nil {
        return nil, err
    }
    // Client 与 Jar 成对返回，调用方不要再替换成共享 Jar。
    return &http.Client{Jar: jar}, nil
}

域名隔离不等于“看到不同主机名就完全隔离”

Cookie 的 Domain 属性决定它能否覆盖子域。没有显式 Domain 时，通常是 host-only Cookie；如果服务端设置 Domain=example.com，它可能同时匹配 www.example.com 和 api.example.com。所以“跨域”要先分清是跨子域，还是跨注册域。

用 publicsuffix.List 收紧跨注册域写入

cookiejar.Options.PublicSuffixList 用来判断服务端是否能为某个域设置 Cookie。把它留空只适合非常受控的测试；官方文档明确提示，空实现会让 foo.com 为 bar.com 设置 Cookie。生产客户端应使用 golang.org/x/net/publicsuffix 提供的列表，并把它视为域名边界保护，而不是账号隔离的替代品。

这张结构图强调两层关系：公共后缀表先阻止不合理的 Domain 写入，Jar 再按具体 URL 返回可发送 Cookie。即使两个请求属于同一注册域，两个账号也应该使用两份 Jar。

发布请求前用 Jar.Cookies 检查实际边界

排查串 Cookie 时，不要只看 Jar 里“有没有这个名字”，要把目标 URL 传给 Cookies。它返回的是该 URL 此刻真正匹配的 Cookie；HTTP 与 HTTPS 之外的 scheme 会得到空结果。

import (
    "net/http"
    "net/url"
)

func cookieNames(jar http.CookieJar, rawURL string) ([]string, error) {
    // 解析目标 URL，避免把字符串比较误当成域名匹配。
    u, err := url.Parse(rawURL)
    if err != nil {
        return nil, err
    }
    cookies := jar.Cookies(u)
    names := make([]string, 0, len(cookies))
    for _, c := range cookies {
        // 只输出名称用于排查，避免日志泄露会话值。
        names = append(names, c.Name)
    }
    return names, nil
}

实际项目还应避免把 Cookie 值写入日志，并在登出时丢弃整个会话对象或重新创建 Jar。若需求是“同一账号访问多个子域”，可以接受一份 Jar；若需求是“多个账号并行访问同一域名”，必须按账号拆分 Jar。

常见问题

只把 Cookie 名称改成不同前缀就能隔离吗？

不能。自动发送由 Jar 的域名、路径、scheme 和属性规则决定，名称前缀只是业务约定，不能阻止同名 Cookie 被带出。

CookieJar 能代替浏览器的同源策略吗？

不能。它只实现 HTTP CookieJar 接口的存取和匹配，不负责 CORS、DOM、Storage 或浏览器页面安全模型。

什么时候应该直接新建 CookieJar？

账号切换、租户切换、测试用例隔离和登出后重新登录都适合新建 Jar；这样比逐个删除 Cookie 更不容易遗漏路径或子域。