在echo框架中配置cors需根据场景选择：开发用默认中间件（但不支持凭证），生产须硬编码白名单并设allowcredentials为true，动态匹配需skipper+正则手动处理，集群推荐nginx统一代理并添加vary: origin头。
要在Echo框架中配置CORS中间件以允许指定域名访问API，必须确保响应头中的Access-Control-Allow-Origin与前端请求的Origin精确匹配，否则浏览器会直接拦截请求。
使用默认CORS中间件（单域名）
这一步最简单，适合开发环境或仅需支持一个前端域名的场景。直接调用e.Use(middleware.CORS())会启用通配符模式，但该模式不支持携带凭证——如果你的前端需要传Cookie或Authorization头，这步就会失败。
运行e.Use(middleware.CORS()) → Echo自动添加Access-Control-Allow-Origin: *响应头 → 所有跨域GET/POST请求可通，但credentials: 'include'会触发浏览器报错。
自定义CORS配置（允许多个具体域名）
生产环境必须禁用*，改用白名单数组。Echo不支持在响应时动态拼接多个域名到Access-Control-Allow-Origin，所以你只能列出所有合法来源，由框架内部做Origin比对。
方法一：硬编码域名列表
在初始化Echo实例后，调用CORSWithConfig并传入AllowOrigins切片：
e.Use(middleware.CORSWithConfig(middleware.CORSConfig{<br> AllowOrigins: []string{"https://admin.example.com", "https://app.example.com", "http://localhost:3000"},<br> AllowMethods: []string{echo.GET, echo.POST, echo.PUT, echo.DELETE, echo.OPTIONS},<br> AllowHeaders: []string{echo.HeaderOrigin, echo.HeaderContentType, echo.HeaderAuthorization},<br> AllowCredentials: true,<br>}))
【AllowCredentials: true时，AllowOrigins不能含通配符，且每个域名必须协议、端口、主机名完全一致】。比如http://localhost:3000和https://localhost:3000会被视为两个不同源，缺一不可。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
动态匹配域名（支持子域名或正则）
当你的前端部署在多个子域名下（如zh-CN.site.com、en-US.site.com），或者需要适配合作伙伴的任意二级域名时，硬编码会失控。Echo原生不支持正则匹配Origin，但可通过Skipper函数+手动判断实现动态放行。
第一步：定义一个允许的域名模式列表，例如[]string{"^https?://(admin|app)\.example\.com$", "^http://localhost:[0-9]{4}$"}
第二步：编写跳过逻辑，在每次请求时提取req.Header.Get("Origin")，逐个用regexp.MatchString比对
第三步：若匹配成功，手动设置res.Header().Set("Access-Control-Allow-Origin", origin)并返回nil；否则返回echo.NewHTTPError(http.StatusForbidden)
注意：此方式绕过了标准CORS中间件的自动OPTIONS处理，你必须显式注册e.OPTIONS("/*", func(c echo.Context) error { return c.NoContent(http.StatusNoContent) })来响应预检请求。
通过Nginx前置代理统一处理（推荐用于多服务集群）
如果你的Echo服务前面有Nginx，把CORS逻辑下沉到反向代理层更安全、更易维护。Nginx能根据$http_origin变量做条件判断，避免应用层重复解析。
在Nginx配置的location块内加入：
if ($http_origin ~* "^https?://(admin.example.com|app.example.com|localhost:[0-9]{4})$") {<br> add_header 'Access-Control-Allow-Origin' "$http_origin";<br> add_header 'Access-Control-Allow-Credentials' 'true';<br> add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS';<br> add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';<br>}
【必须添加Vary: Origin头，否则CDN或代理可能缓存错误的Access-Control-Allow-Origin值】 → 在同一段配置末尾追加add_header 'Vary' 'Origin';
