martini 应用中使用 `martini-contrib/sessions` 时，session 数据在请求间丢失，通常是因中间件执行顺序不当或未正确触发 session 初始化所致。本文详解根本原因与可靠修复方法。
在 Martini 框架中，sessions.Sessions() 是一个中间件，它负责为每个请求注入并初始化 sessions.Session 实例。但关键点在于：该中间件必须在所有依赖 Session 的处理器（handler）之前被调用，且 Session 的读写操作仅在中间件成功执行后才有效。
你当前的代码看似规范，但存在一个隐蔽却致命的问题：/login 路由处理器中虽然声明了 session sessions.Session 参数，但如果 sessions.Sessions 中间件因某些原因（如路由匹配失败、前置中间件 panic、或 Martini 版本兼容性问题）未能成功执行，session 将是 nil 或空会话，导致 session.Set() 实际未生效——而 Martini 默认不会报错，只会静默跳过。
更常见的情况是：/login 请求本身未携带有效的 session cookie（例如首次访问），而 NewCookieStore 默认配置下，若 session 未被显式保存（即未调用 session.Save() 或未触发自动保存），则响应头中不会写入 Set-Cookie，导致后续请求无法关联同一会话。
✅ 正确做法如下：
-
确保 sessions.Sessions 全局注册且位于其他中间件之前（你已正确完成）：
store := sessions.NewCookieStore([]byte("secret123")) m.Use(sessions.Sessions("my_session", store)) -
强制 Session 初始化与显式保存：Martini 的 sessions 包在较新版本中要求显式调用 session.Save(rw, req)（或依赖其自动保存机制）。但在 Martini v0.6+ 中，sessions.Session 的 Save() 通常由中间件自动触发——前提是：Session 必须被真正“触达”（accessed）且有变更。
因此，建议在 /login 处理器开头添加一次安全读取，确保 Session 已激活：
m.Get("/login", binding.Bind(LoginForm{}), func(r render.Render, session sessions.Session, form LoginForm) string { // ✅ 强制初始化 Session（读取任意 key，即使不存在） _ = session.Get("init") // 触发 session 加载逻辑 // ... 数据库验证逻辑（保持不变） if err == nil { session.Set("id", id) session.Set("username", username) session.Set("name_first", name_first) session.Set("name_last", name_last) session.Set("role", role) session.Set("team_id", team_id) // ✅ 显式保存（推荐，增强可靠性） if err := session.Save(); err != nil { log.Printf("Failed to save session: %v", err) return "Error" } log.Print("Session saved successfully.") return "OK" } return "Bad" }) -
检查响应头与浏览器行为：
-
补充健壮性处理（推荐）：
在 /session 处理器中增加空值防护与类型断言安全检查：m.Get("/session", func(session sessions.Session) string { var c Context if id := session.Get("id"); id != nil { if s, ok := id.(string); ok { if i, err := strconv.Atoi(s); err == nil { c.Id = i } } } if username := session.Get("username"); username != nil { if s, ok := username.(string); ok { c.Username = s } } // 同理处理 name_first, name_last 等字段... j, _ := json.Marshal(c) return string(j) })
⚠️ 注意事项：
- 不要使用 log.Fatal() 在 Web 处理器中（如 log.Fatal(err)），它会终止整个进程；改用 log.Printf() + 返回错误响应；
- defer conn.Close() 在 sql.Open 后立即调用是危险的——conn 是连接池，应延迟到查询结束后关闭（或更佳：使用 defer stmt.Close() 和函数内 defer rows.Close()）；
- 密码明文比对极不安全，请务必使用 bcrypt 或 argon2 进行哈希校验。
通过以上调整，Session 将稳定跨请求持久化。核心原则始终是：确保 Session 中间件执行无误、Session 被显式访问、变更后可靠保存、客户端正确收发 Cookie。
