稍微跟了一下，gorilla对cookie的处理中，只是用key把session id解出来 然后去找对应的文件读取用户的信息   所以只有在知道session id的情况下才能伪造用户cookie 导致API2: Broken authentication无法正常工作 虽然/static/sessions/路由能看到id，但与预期解法不一致了
稍微跟了一下，gorilla对cookie的处理中，只是用key把session id解出来
然后去找对应的文件读取用户的信息
所以只有在知道session id的情况下才能伪造用户cookie
导致API2: Broken authentication无法正常工作
虽然/static/sessions/路由能看到id，但与预期解法不一致了