goland调试时看到access-control-allow-origin: "*"，是因为cors.default()或allowallorigins:true强制写死该头；实际白名单未生效主因是中间件配置错误、注册顺序不当或被覆盖，而非ide问题。
GoLand 里调试 CORS 白名单为什么总看到 Access-Control-Allow-Origin: *？
因为你在代码里用了 cors.Default() 或 Config{AllowAllOrigins: true}，这会强制写死 Access-Control-Allow-Origin: "*" —— GoLand 只是 IDE，它不改逻辑，但你断点打在 handler 里时，头已经由中间件提前写好了。真正要查的是中间件初始化位置，不是业务路由函数。
常见错误现象：
- 前端带
credentials: 'include'，控制台报 “The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*'” - GoLand 调试时看到响应头确实是
*，但代码里明明写了[]string{"https://a.com"}
实操建议：
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 全局搜索
cors.Default()、AllowAllOrigins:、gin-contrib/cors初始化块，确认没被覆盖 - 在 GoLand 的 “Run/Debug Configurations” → “Environment variables” 中加
GODEBUG=http2debug=1，看启动日志是否打印 CORS 中间件加载信息 - 用
curl -H "Origin: https://a.com" -I http://localhost:8080/api/test直接绕过浏览器验证响应头，比在 Chrome Network 面板里看更可靠
GoLand 断点调试时 OPTIONS 请求不触发断点？
因为 gin-contrib/cors 或 gorilla/handlers.CORS 内部已拦截并响应 OPTIONS，根本没走到你的路由 handler。GoLand 在业务函数里打的断点自然不会命中。
实操建议：
- 在 CORS 中间件源码里下断点：比如
github.com/gin-contrib/cors@v1.4.0/cors.go的handlePreflight函数（路径可在 GoLand 的 “Find in Path” 搜索） - 确保 GoLand 的 “Run” → “Edit Configurations” → “Go Build Tags” 里没误填
ignore类标签，导致 CORS 包被条件编译剔除 - 如果用自定义中间件，在
if r.Method == "OPTIONS"分支开头加log.Println("CORS preflight hit")，再看 GoLand 的 Console 输出
白名单域名配置对不上，GoLand 看不出哪行代码生效？
多个 CORS 配置可能叠加：比如 router.Use(cors.New(...)) 和某个子路由又调了一次 Use()，后者会覆盖前者；或者 Nginx 已经加了头，Go 服务又加一遍，导致冲突。
实操建议：
- 在 GoLand 的 “Services” 工具窗口中右键你的服务 → “Show Log in Console”，搜索
Access-Control-Allow-Origin，看最终输出的是哪个值 - 检查中间件注册顺序：CORS 必须在 JWT、Logger、Recovery 等之前，否则鉴权失败会先返回 401，CORS 头根本不会发
- 用 GoLand 的 “Evaluate Expression”（Alt+F8）在任意断点里执行
r.Header.Get("Origin")，确认当前请求实际带的 origin 是什么（注意末尾斜杠、协议大小写）
动态白名单（AllowOriginFunc）在 GoLand 里怎么验证逻辑是否执行？
函数没被调用，通常是因为中间件没正确包裹最终 handler，或者你把 AllowOriginFunc 和 AllowOrigins 同时设了——后者会直接短路，函数根本不会执行。
实操建议：
- 在
AllowOriginFunc函数第一行加log.Printf("Origin check: %s", origin)，而不是只依赖 GoLand 断点（函数内联或优化可能导致断点失效） - 确保传入的是完整
cors.Config{AllowOriginFunc: ...}，不是cors.Config{AllowOrigins: ..., AllowOriginFunc: ...}（后者会被忽略） - 在 GoLand 的 “Debugger” → “Watches” 里添加表达式
allowedOriginsMap（如果你的白名单 map 叫这个名字），实时看内容是否加载成功
