在Golang的Web开发中，Cookie常用于存储用户身份标识、会话状态等敏感信息，若不对Cookie进行安全管理和加密验证，很容易被窃取或篡改，引发严重的安全问题。实现Cookie的安全管理需要从属性配置和值加密两个层面入手。
Cookie基础操作
Golang标准库的net/http提供了Cookie的基础操作能力，首先来看如何创建和读取Cookie。
创建Cookie
可以通过http.Cookie结构体定义Cookie的各个属性，再通过http.SetCookie方法写入响应头。
package main
import (
"net/http"
)
func setCookieHandler(w http.ResponseWriter, r *http.Request) {
// 定义基础Cookie
cookie := &http.Cookie{
Name: "user_token", // Cookie名称
Value: "raw_token_value", // Cookie值，后续会替换为加密后的值
Path: "/", // 生效路径
Domain: "", // 生效域名，空则为当前域名
MaxAge: 3600, // 有效期，单位秒，3600即1小时
Secure: false, // 是否仅HTTPS传输，生产环境建议设为true
HttpOnly: true, // 是否禁止JS访问，防止XSS窃取
SameSite: http.SameSiteLaxMode, // 同源策略，防止CSRF攻击
}
http.SetCookie(w, cookie)
w.Write([]byte("Cookie设置成功"))
}
读取Cookie
通过r.Cookie方法可以读取指定名称的Cookie，返回Cookie对象和错误。
func getCookieHandler(w http.ResponseWriter, r *http.Request) {
cookie, err := r.Cookie("user_token")
if err != nil {
if err == http.ErrNoCookie {
w.Write([]byte("未找到对应Cookie"))
return
}
w.Write([]byte("读取Cookie失败"))
return
}
w.Write([]byte("Cookie值为：" + cookie.Value))
}
Cookie安全管理核心要点
除了基础操作，还需要注意以下安全配置：
- 设置HttpOnly属性：禁止JavaScript访问Cookie，避免XSS攻击窃取Cookie内容。
- 设置Secure属性：生产环境下开启，仅允许HTTPS协议传输Cookie，防止明文传输被拦截。
- 设置SameSite属性：限制第三方站点请求携带Cookie，降低CSRF攻击风险，可选值有Strict、Lax、None。
- 控制有效期：根据业务需求设置合理的MaxAge，避免Cookie长期有效增加泄露风险。
Cookie加密与验证实现
仅设置安全属性还不够，Cookie的值如果是明文存储，即使被拦截也能直接读取内容，因此需要对Cookie值进行加密和签名验证。
加密方案选择
常用的方案是加密+签名：使用对称加密算法加密Cookie原始值，再对加密结果进行签名，验证时先校验签名再解密，既能保证内容不被读取，也能防止内容被篡改。
这里使用AES-GCM对称加密算法和HMAC签名实现，AES-GCM同时提供加密和认证能力，实现更简洁。
完整实现代码
首先定义加密密钥和相关工具函数：
package main
import (
"crypto/aes"
"crypto/cipher"
"crypto/rand"
"encoding/base64"
"errors"
"fmt"
"io"
"net/http"
)
// 加密密钥，生产环境需要从安全配置中读取，长度需符合AES要求，这里使用32字节对应AES-256
var encryptKey = []byte("0123456789abcdef0123456789abcdef")
// 加密Cookie值
func encryptCookieValue(plainText string) (string, error) {
block, err := aes.NewCipher(encryptKey)
if err != nil {
return "", err
}
// 创建GCM模式
gcm, err := cipher.NewGCM(block)
if err != nil {
return "", err
}
nonce := make([]byte, gcm.NonceSize())
// 生成随机nonce
if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
return "", err
}
// 加密并附加认证标签，结果格式为 nonce + 密文+认证标签
cipherText := gcm.Seal(nonce, nonce, []byte(plainText), nil)
// 转为base64方便存储到Cookie
return base64.StdEncoding.EncodeToString(cipherText), nil
}
// 解密并验证Cookie值
func decryptCookieValue(cipherTextBase64 string) (string, error) {
cipherText, err := base64.StdEncoding.DecodeString(cipherTextBase64)
if err != nil {
return "", err
}
block, err := aes.NewCipher(encryptKey)
if err != nil {
return "", err
}
gcm, err := cipher.NewGCM(block)
if err != nil {
return "", err
}
nonceSize := gcm.NonceSize()
if len(cipherText) < nonceSize {
return "", errors.New("无效的加密数据")
}
// 拆分nonce和密文+认证标签
nonce, cipherTextWithTag := cipherText[:nonceSize], cipherText[nonceSize:]
// 解密并验证认证标签
plainText, err := gcm.Open(nil, nonce, cipherTextWithTag, nil)
if err != nil {
return "", errors.New("Cookie验证失败，可能被篡改")
}
return string(plainText), nil
}
接下来结合Cookie操作，实现加密Cookie的设置和读取：
func setSecureCookieHandler(w http.ResponseWriter, r *http.Request) {
// 原始Cookie值，比如用户ID
rawValue := "user_id_12345"
// 加密原始值
encryptedValue, err := encryptCookieValue(rawValue)
if err != nil {
w.WriteHeader(http.StatusInternalServerError)
w.Write([]byte("加密Cookie失败"))
return
}
// 创建安全Cookie
cookie := &http.Cookie{
Name: "secure_user_token",
Value: encryptedValue,
Path: "/",
MaxAge: 3600,
Secure: true, // 生产环境开启
HttpOnly: true,
SameSite: http.SameSiteLaxMode,
}
http.SetCookie(w, cookie)
w.Write([]byte("安全Cookie设置成功"))
}
func getSecureCookieHandler(w http.ResponseWriter, r *http.Request) {
cookie, err := r.Cookie("secure_user_token")
if err != nil {
w.Write([]byte("未找到安全Cookie"))
return
}
// 解密并验证Cookie值
plainValue, err := decryptCookieValue(cookie.Value)
if err != nil {
w.Write([]byte("Cookie无效：" + err.Error()))
return
}
w.Write([]byte("解密后的Cookie值：" + plainValue))
}
func main() {
http.HandleFunc("/set-cookie", setCookieHandler)
http.HandleFunc("/get-cookie", getCookieHandler)
http.HandleFunc("/set-secure-cookie", setSecureCookieHandler)
http.HandleFunc("/get-secure-cookie", getSecureCookieHandler)
fmt.Println("服务启动在 :8080")
http.ListenAndServe(":8080", nil)
}
注意事项
- 加密密钥需要妥善保管，不能硬编码在代码中，生产环境建议使用环境变量或密钥管理服务存储。
- AES-GCM的nonce需要每次加密随机生成，不能重复使用，否则会降低加密安全性。
- 如果Cookie存储的内容较大，需要注意浏览器对Cookie大小的限制，单个Cookie通常不能超过4KB。
- 验证Cookie失败时，不要返回具体的错误原因，避免给攻击者提供调试信息，直接返回未授权即可。
GolangCookie_security加密验证HTTP_Cookie修改时间：2026-06-30 04:54:39