Go语言SameSite Cookie属性在Heroku部署后丢失问题求助

我之前在Heroku部署Go服务时也碰到过一模一样的Cookie属性丢失问题，结合你的代码场景，给你几个经过验证的可行方案：

1. 修复Cookie配置的不一致问题 #

你代码里MaxAge:2600000（约30天）和Expires: time.Now().Add(1 * time.Hour)（1小时）存在冲突，MaxAge的优先级高于Expires，这种不一致会让代理或浏览器处理Cookie时出现异常，甚至剥离部分属性。同时建议替换魔法数字4为官方常量，避免版本兼容风险：

http.SetCookie(w, &http.Cookie{
    Name:     "session_token",
    Value:    sessionToken,
    Expires:  time.Now().Add(1 * time.Hour),
    HttpOnly: true,
    MaxAge:   3600, // 和Expires保持一致，1小时=3600秒
    SameSite: http.SameSiteNoneMode, // 替换魔法数字4为官方常量
    Secure:   true,
})

2. 让Go应用正确识别HTTPS请求 #

Heroku的请求是通过反向代理转发的，你的应用收到的实际是HTTP请求，即使外部是HTTPS。如果Go应用判断当前请求是HTTP，可能会隐性修改Secure属性，而SameSite:None必须搭配Secure才能被浏览器认可，这也会导致Heroku代理剥离SameSite属性。

你可以添加一个中间件，让应用信任Heroku的X-Forwarded-Proto头，正确识别外部协议：

import (
    "net/http"
    "crypto/tls"
)

// 协议识别中间件
func proxyProtocolMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 检查Heroku转发的协议头
        if r.Header.Get("X-Forwarded-Proto") == "https" {
            // 标记请求为HTTPS
            r.TLS = &tls.ConnectionState{Version: tls.VersionTLS12}
        }
        next.ServeHTTP(w, r)
    })
}

// 在启动服务时使用中间件
func main() {
    router := yourAPIRouter() // 你的API路由
    http.ListenAndServe(":8080", proxyProtocolMiddleware(router))
}

3. 检查Heroku附加组件的影响 #

如果你的应用使用了Heroku的CDN、缓存类附加组件，部分组件默认会过滤非标准Cookie属性。可以进入组件的配置面板，确保允许SameSite属性通过，或者暂时禁用组件验证是否是它导致的问题。

验证方式 #

部署修改后的代码后，用浏览器开发者工具查看Application标签下的Cookie，或者用curl命令测试：

curl -v https://你的Heroku应用域名/login

查看响应头里的Set-Cookie是否包含SameSite=None; Secure。

内容的提问来源于stack exchange，提问作者TheSYNcoder