HTML 表单跨域提交本身不触发 CORS 预检，也不会产生 OPTIONS 请求；所谓“POST 后紧接 GET”实为浏览器自动请求 favicon.ico 所致，并非 CORS 机制行为——真正需关注的是服务端重定向逻辑与同源策略对跳转结果的影响。
html 表单跨域提交本身**不触发 cors 预检**，也不会产生 options 请求；所谓“post 后紧接 get”实为浏览器自动请求 favicon.ico 所致，并非 cors 机制行为——真正需关注的是服务端重定向逻辑与同源策略对跳转结果的影响。
在 Web 开发中，一个常见误解是：「表单跨域提交会触发 CORS 预检」。但事实恰恰相反——HTML 原生 。浏览器不会附加 Origin 头，也不发送预检 OPTIONS 请求。它遵循的是传统 HTTP 表单语义，而非 Fetch/XHR 的 CORS 流程。
那么你观察到的 POST 后立即出现 GET 是怎么回事？答案很明确：这是浏览器在加载页面或响应后，自动发起的 /favicon.ico 资源请求。验证方法非常简单——在 Go 服务端添加日志：
func handler(w http.ResponseWriter, r *http.Request) {
log.Printf("Method: %s | URL: %q | Origin: %q",
r.Method, r.URL.String(), r.Header.Get("Origin"))
// 设置 CORS 头（虽对表单无实际作用，但不影响）
w.Header().Set("Access-Control-Allow-Origin", "*")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers",
"Content-Type, Authorization")
if r.Method == "POST" {
// ✅ 此处处理表单数据（如解析 r.PostFormValue）
// 注意：必须调用 r.ParseForm() 或 r.ParseMultipartForm()
if err := r.ParseForm(); err != nil {
http.Error(w, "Parse error", http.StatusBadRequest)
return
}
username := r.PostFormValue("username")
password := r.PostFormValue("password")
formID := r.PostFormValue("form-id")
log.Printf("Received login: %s (form=%s)", username, formID)
// ✅ 成功后执行重定向（关键！）
http.Redirect(w, r, "http://localhost:3000/success.html", http.StatusSeeOther)
return
}
// 兜底响应（例如处理 favicon.ico 或根路径 GET）
w.WriteHeader(http.StatusOK)
w.Write([]byte("OK"))
}
运行后你会看到类似日志：
Method: POST | URL: "/" | Origin: "" Method: GET | URL: "/favicon.ico" | Origin: ""
⚠️ 重要说明：
- Origin 为空字符串 "" 是正常的——表单提交不携带 Origin 头，因此你在日志中看不到 http://localhost:3000；
- Access-Control-Allow-* 响应头对表单提交完全无效（浏览器忽略），但设置它们无害，且可兼顾后续 AJAX 调用；
- 若你想在提交后跳转到前端页面（如 /success.html），必须使用 http.Redirect(..., http.StatusSeeOther)（即 303 状态码），而非 302。StatusSeeOther 明确要求客户端使用 GET 方法发起跳转，符合 PRG 模式，避免刷新重复提交。
✅ 最佳实践总结：
- 不要依赖 CORS 头处理表单提交：它本就不参与该流程；
- 始终解析表单数据：调用 r.ParseForm()，否则 r.PostFormValue() 返回空；
- 重定向用 http.StatusSeeOther（303）：确保跳转安全、语义清晰；
-
静态资源（如 favicon.ico）单独路由：避免干扰主逻辑，例如：
http.HandleFunc("/favicon.ico", func(w http.ResponseWriter, r *http.Request) { http.ServeFile(w, r, "./static/favicon.ico") }) - *生产环境禁用 `Access-Control-Allow-Origin: **：若需携带 Cookie，必须指定精确源（如https://www.php.cn/link/299c2682d4485edb0512fd6e285433d4 Access-Control-Allow-Credentials: true ——但注意：此时 * 不被允许，必须显式声明。
最后提醒：若你后续引入 AJAX 登录（如用 fetch() 提交 JSON），才真正需要完整 CORS 配置（含预检支持、凭证控制等）。而原生表单，只需专注服务端逻辑与重定向即可。
