Go语言如何做跨域CORS配置_Golang中间件Allow-Origin设置-Golang-PHP中文网

go 的 net/http 不处理 cors，必须手动设置 access-control-allow-origin 为具体 origin 值（不可用 "*"）且需校验白名单；options 预检须显式处理并返回 204 状态及完整 cors 头；header 设置须在 writeheader 前，nginx 需透传 origin。

go语言如何做跨域cors配置_golang中间件allow-origin设置

Go 的 net/http 包压根不处理 CORS，Access-Control-Allow-Origin 必须手动设，且不能只写 "*" —— 尤其当前端带 credentials: 'include' 时，必须动态校验并回写具体 Origin 值。

为什么 `Access-Control-Allow-Origin: "*"` 有时会报错

浏览器明确禁止 Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials: "true" 同时存在且 Origin 为通配符。常见错误现象是：前端 fetch 拿到响应但控制台持续报错 “The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'”。

只要前端发请求时带了 cookie、Authorization 头，或显式写了 { credentials: 'include' }，后端就不能用 "*"
必须读取请求头 Origin，白名单校验后原样回写：w.Header().Set("Access-Control-Allow-Origin", origin)
白名单不能用 "https://*.example.com" —— 浏览器不认子域名通配符，只能列全 []string{"https://a.example.com", "https://b.example.com"}
若用 gorilla/handlers.CORS，handlers.AllowedOrigins([]string{"*"}) 会自动禁用 AllowCredentials，二者不可共存

如何正确处理 OPTIONS 预检请求

Go 默认的 http.ServeMux 对 OPTIONS 方法无路由逻辑，不匹配就直接返回 405 或 404 —— 不是你没写 handler，是请求根本没进你的业务逻辑。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

中间件中必须显式判断 r.Method == "OPTIONS"，然后立即 w.WriteHeader(http.StatusNoContent) 并 return
不能在 OPTIONS 响应里写响应体（哪怕空字符串），否则某些浏览器拒绝后续请求
预检响应也必须带上所有 CORS 头：Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers 等，否则浏览器认为“预检失败”
如果前端发了自定义头如 X-Auth-Token，Access-Control-Allow-Headers 必须显式包含它，否则预检 403

手写中间件 vs 使用 `gorilla/handlers.CORS`

手写轻量中间件适合开发调试或固定源场景；gorilla/handlers.CORS 更稳，尤其涉及凭证、动态 header、缓存等复杂需求。

手写示例关键点：origin := r.Header.Get("Origin") → 白名单检查 → w.Header().Set("Access-Control-Allow-Origin", origin) → if r.Method == "OPTIONS" { w.WriteHeader(204); return }
gorilla/handlers.CORS 必须最外层包装最终 handler（如 handlers.CORS(...)(r)），不能只包某个子路由
用 gorilla/handlers 时，handlers.ExposedHeaders([]string{"X-Total-Count"}) 是必须的——否则前端 response.headers.get("X-Total-Count") 返回 null
注意 MaxAge 单位是秒，设太大可能让前端误用过期预检缓存，调试时可先设 handlers.MaxAge(10)