Go语言使用Cookie实现Web认证时登出链接失效问题

核心是两个问题叠加导致的：

• 登出属于修改用户登录状态的有副作用操作，用GET方法承载该逻辑不符合HTTP语义规范。普通<a>标签触发的是GET请求，而GET在HTTP标准中被定义为安全、幂等的操作，浏览器、代理、缓存服务都可以直接缓存GET请求的响应，无需每次向源站发请求。
• 登出接口执行完逻辑后返回3xx重定向到根路径/，但没有给该响应添加任何禁止缓存的头。第一次登出成功后，浏览器会把这个重定向响应缓存到本地。当你第二次登录后再点击登出链接时，浏览器直接命中本地缓存的重定向规则，根本不会把请求发送到后端的登出处理函数，自然不会执行清除Cookie、销毁会话的逻辑，直接跳转到根路径，表现为登出完全失效。

可以打开浏览器开发者工具的网络面板复现验证，第二次点击登出链接时，能看到登出路径的请求要么根本没发出，要么状态标记为from memory cache/from disk cache。

另外Cookie删除逻辑存在兼容性瑕疵：部分老旧浏览器不识别Max-Age响应头，只认Expires头，仅设置MaxAge: -1在这类浏览器上无法正常删除Cookie，但这不是本次复现问题的核心诱因。

• 从根源上符合HTTP语义：不要用GET请求处理登出操作。把登出入口改成POST形式（比如用表单提交、或者JS发起POST请求），既可以避免GET缓存问题，也能降低跨站请求伪造的风险。
• 如果暂时保留GET登出的实现，必须给登出接口的所有响应（包括重定向响应）加上强制禁止缓存的响应头，示例代码：

w.Header().Set("Cache-Control", "no-cache, no-store, must-revalidate")
w.Header().Set("Pragma", "no-cache")
w.Header().Set("Expires", "0")

• 补全Cookie删除的兼容配置：登出时除了设置MaxAge: -1，同时给Cookie的Expires字段赋值一个过去的时间（比如time.Unix(0, 0)），适配老旧浏览器的Cookie解析逻辑。

内容的提问来源于stack exchange，提问作者aldm