go的net/http包默认不处理跨域，必须手动添加cors响应头并正确响应options预检请求；手写中间件比在handler中逐个setheader更可靠，因其能统一处理预检、避免遗漏credentials配置、防止头字段冲突且确保设置时机正确。
Go 的 net/http 包默认完全不处理跨域，浏览器看到缺少 Access-Control-Allow-Origin 就直接拦截请求——不是后端没收到，是请求压根没发出去。必须手动加响应头，且必须正确响应 OPTIONS 预检请求。
为什么手写中间件比直接在 handler 里 SetHeader 更可靠
直接在每个路由 handler 开头写 w.Header().Set("Access-Control-Allow-Origin", "*") 看似简单，但容易出问题：
- 漏掉
OPTIONS请求处理，导致预检失败，后续POST/PUT被静默拦截 - 忘记设置
Access-Control-Allow-Credentials，而前端用了fetch({ credentials: 'include' })，结果浏览器报错 “The value of the 'Access-Control-Allow-Origin' header must not be the wildcard '*'” - 多个 handler 各自写头，参数不一致（比如一个允许
DELETE，另一个没开），调试时难定位 -
w.Header().Set()必须在w.WriteHeader()或首次w.Write()之前调用，顺序一错就失效
怎么正确响应 OPTIONS 预检请求
浏览器对非简单请求（含自定义 header、Content-Type: application/json、method 为 PUT/DELETE）会自动先发 OPTIONS 请求。你的服务必须显式响应它，否则整个链路中断。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 状态码必须是
http.StatusNoContent（204）或http.StatusOK（200），不能是 404/405 - 响应体必须为空，
w.Write([]byte{})或什么都不写；写任何内容都可能被某些浏览器拒绝 - 必须带上全部 CORS 头：
Access-Control-Allow-Origin、Methods、Headers、Credentials（如果需要） - 不要在
OPTIONS分支里调next.ServeHTTP()，否则可能触发实际业务逻辑
用 rs/cors 库快速上线但别乱用 Default()
github.com/rs/cors 是最轻量、无依赖的方案，适合大多数场景。但它有两个关键陷阱：
-
cors.Default()允许所有源（AllowedOrigins: ["*"]）且禁用凭证支持，开发时方便，但一上生产就可能被浏览器拒绝带 cookie 的请求 - 若需
AllowCredentials: true，AllowedOrigins必须是明确域名列表，如[]string{"https://example.com", "http://localhost:3000"}，不能含通配符子域名（"https://*.example.com"不被支持） -
ExposedHeaders要显式列出前端 JS 需要读取的响应头，比如X-Total-Count，否则response.headers.get("X-Total-Count")返回null - 配置项必须在
cors.New()里一次性传入，不能后期动态修改
生产环境该在哪一层做 CORS
微服务架构下，CORS 不该由每个服务自己处理：
- 每个服务重复配置，运维难收敛，容易出现头字段不一致（比如 A 服务允许
PUT，B 服务没开） - 服务间内部调用（如
service-a → service-b）不该走 CORS 流程，但若每个服务都加了中间件，反而增加无效开销和误配风险 - 真正该加 CORS 的是 API 网关层（如 Nginx、Traefik 或自研网关），统一鉴权、限流、日志、CORS，后端服务只专注业务逻辑
- 如果暂时没网关，至少用
gorilla/handlers.CORS替代手写，它对Vary: Origin、MaxAge缓存等细节做了兼容性处理
最常被忽略的一点：Nginx 反向代理时，默认不透传自定义响应头。如果你把 Go 服务放在 Nginx 后面，必须显式加 add_header Access-Control-Allow-Origin $cors_origin; 并配置 add_header Vary Origin;，否则前端看到的还是空头。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
