如何将HEAD请求的_gorila_csrf、csrf_token Cookie传递到POST请求？求最佳实践

最佳实践：用CookieJar自动管理Cookie #

Go的net/http包自带CookieJar接口，能让HTTP客户端自动存储请求返回的Cookie，并在后续请求中自动携带，这是最省心也最可靠的方案，完全不需要手动拼接Cookie头。

示例代码：

package main

import (
    "fmt"
    "net/http"
    "net/http/cookiejar"
    "time"
)

const url = "https://your-target-api.com"

func main() {
    // 创建带CookieJar的客户端
    jar, _ := cookiejar.New(nil)
    client := &http.Client{
        Timeout: time.Second * 5,
        Jar:     jar,
    }

    // 发送HEAD请求，CookieJar会自动保存返回的Cookie
    r, _ := http.NewRequest("HEAD", url, nil)
    resp, _ := client.Do(r)
    resp.Body.Close() // 务必关闭响应体

    // 发送后续POST请求，客户端会自动带上之前保存的Cookie
    postReq, _ := http.NewRequest("POST", url+"/submit", nil)
    postResp, _ := client.Do(postReq)
    defer postResp.Body.Close()

    fmt.Println("POST请求状态码:", postResp.StatusCode)
}

手动处理Cookie的正确姿势 #

如果不想用CookieJar，手动处理时绝对不能依赖resp.Cookies()的索引顺序（新增Cookie会直接打乱顺序），必须通过Cookie名称精准查找：

1. 封装工具函数按名称取Cookie #

func getCookieByName(cookies []*http.Cookie, name string) *http.Cookie {
    for _, c := range cookies {
        if c.Name == name {
            return c
        }
    }
    return nil
}

2. 规范拼接Cookie头 #

// 从HEAD响应中获取目标Cookie
csrfCookie := getCookieByName(resp.Cookies(), "_gorila_csrf")
tokenCookie := getCookieByName(resp.Cookies(), "csrf_token")

// 仅当两个Cookie都存在时拼接头
var cookieHeader string
if csrfCookie != nil && tokenCookie != nil {
    cookieHeader = fmt.Sprintf("%s=%s; %s=%s", csrfCookie.Name, csrfCookie.Value, tokenCookie.Name, tokenCookie.Value)
}

// 给后续POST请求设置Cookie头
postReq, _ := http.NewRequest("POST", url+"/submit", nil)
if cookieHeader != "" {
    postReq.Header.Set("Cookie", cookieHeader)
}

关于「传递真实Cookie」的疑问 #

你之前手动拼接的是Cookie头的标准格式，但更稳妥的方式是用http.Cookie对象自带的String()方法，它会自动处理特殊字符转义等细节，生成符合HTTP标准的Cookie键值对：

if csrfCookie != nil {
    fmt.Println(csrfCookie.String()) // 输出格式："_gorila_csrf=xxx"
}

内容的提问来源于stack exchange，提问作者sokolata