Go项目登出功能异常：仅重启服务后生效

可能的问题根源排查 #

1. 服务器端会话/Token未正确销毁 #

• 登出接口仅让前端清除Cookie，但未在服务器端删除会话记录（比如Redis、内存中的session缓存），导致后续请求携带旧会话ID时，服务器仍认为用户处于登录状态；重启服务后内存会话被清空，才恢复正常。
• 若使用JWT且未实现黑名单机制，旧Token在过期前依然有效，而重启服务后可能内存中的黑名单（若未持久化）丢失，但这里现象更偏向会话未销毁。

2. 全局变量/共享缓存污染 #

• 若用全局map或未隔离的缓存存储用户状态，登出时未清理对应用户的缓存数据，导致后续请求误读取到旧的用户信息（或空信息但权限逻辑判断错误）；重启服务后全局变量重置，问题暂时消失。

3. 权限判断逻辑漏洞 #

• 未登录状态的权限分支错误：比如代码中误将“无用户信息”判定为“拥有编辑/删除权限”，导致登出后显示所有项目且按钮可见。例如：

  // 错误示例
  canEdit := false
  if user == nil {
      canEdit = true // 逻辑写反，导致未登录时显示编辑按钮
  }
  

4. 客户端缓存未清理 #

• 前端登出后未彻底清除登录相关的Cookie、LocalStorage，后续请求仍携带旧凭证，服务器识别为登录状态；重启服务后服务器端会话失效，前端请求才触发未登录逻辑。

对应解决方案 #

1. 修复会话/Token销毁逻辑 #

• 若使用服务器端会话（如Gorilla Session）：

  func logoutHandler(w http.ResponseWriter, r *http.Request) {
      session, _ := store.Get(r, "session-name")
      // 置会话过期
      session.Options.MaxAge = -1
      _ = session.Save(r, w)
      // 同时删除服务器端会话存储（如Redis）
      _ = redisClient.Del(r.Context(), "session:"+session.ID).Err()
  }
  

• 若使用JWT：实现Token黑名单，登出时将Token加入Redis黑名单并设置过期时间（与Token有效期一致），接口校验时先检查黑名单。
• 登出响应中强制设置Cookie过期：http.SetCookie(w, &http.Cookie{Name: "session_id", Value: "", Expires: time.Unix(0, 0), Path: "/"})

2. 清理全局变量/缓存 #

• 禁止用全局变量存储单个用户的登录状态，改用context.Context在请求生命周期内传递用户信息。
• 登出时务必删除用户对应的缓存键，比如redisClient.Del(r.Context(), "user:"+user.ID)。
• 对共享缓存操作添加并发安全控制（如互斥锁、Redis原子操作），避免竞态条件导致的缓存残留。

3. 修正权限判断逻辑 #

• 明确区分三种状态的权限分支：

  func renderProjects(w http.ResponseWriter, r *http.Request) {
      user, err := getCurrentUserFromRequest(r)
      var projects []Project
      canEdit := false
  
      if err != nil || user == nil {
          // 未登录：获取所有项目，无编辑权限
          projects, _ = queryAllProjects()
          canEdit = false
      } else {
          // 已登录：获取自身项目，有编辑权限
          projects, _ = queryProjectsByUserID(user.ID)
          canEdit = true
      }
  
      // 渲染页面时传递canEdit状态，控制按钮显示
      renderTemplate(w, "projects.html", map[string]interface{}{
          "projects": projects,
          "canEdit":  canEdit,
      })
  }
  

• 排查代码中是否存在“空用户ID授予高权限”的错误逻辑，逐一修正。

4. 前端缓存清理 #

• 登出成功后，执行以下操作：
  • 删除登录相关Cookie：document.cookie = "session_id=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=/;"
  • 清除LocalStorage/SessionStorage：localStorage.removeItem("token")
  • 强制刷新页面：window.location.reload()

内容的提问来源于stack exchange，提问作者bolderphil