gin 的 c.jsonp() 在现代项目中基本不可用，因其仅在带 callback 参数时生效、硬编码 application/javascript 类型、缺失 xss 校验、不设 cors 头、且对非法回调名和非 get 请求无防护或提示；手动实现可精准控制 header、校验、状态码与错误处理，兼容性与安全性更优。
Gin 不支持原生 JSONP，必须手动构造响应头和回调包装，否则浏览器会报跨域或解析错误。
为什么 c.JSONP() 在现代项目中基本不可用
虽然 Gin 提供了 c.JSONP() 方法，但它只在请求 URL 显式带 callback=xxx 时才生效，且内部硬编码使用 application/javascript MIME 类型、不支持自定义状态码、无法控制回调函数名合法性校验。更关键的是：它不会自动设置 Access-Control-Allow-Origin: *，而现代浏览器对 JSONP 响应的 MIME 类型和 header 要求已趋严格——很多 CDN 或代理会拦截非 text/javascript 的 JSONP 响应。
- 若客户端传
?callback=foo123，c.JSONP()会返回foo123({...})，但 Content-Type 是application/javascript，部分浏览器拒绝执行 - 若客户端传
?callback=alert(1)，c.JSONP()照样拼接，存在 XSS 风险 - 它不兼容 POST 请求（JSONP 只能 GET），但 Gin 的
c.JSONP()对非 GET 请求静默失败，无提示
手动实现安全 JSONP 响应的三步法
绕过 c.JSONP() 的限制，用 c.Header() + c.String() 控制全流程：
- 先用
c.DefaultQuery("callback", "")获取回调名，空值则直接返回普通 JSON（避免 400） - 用正则
^[a-zA-Z_$][a-zA-Z0-9_$]*$校验回调名是否为合法 JS 标识符，非法则返回 400 - 手动设置
Content-Type: text/javascript; charset=utf-8和Access-Control-Allow-Origin: *（JSONP 场景下必需）
engine.GET("/api/data", func(c *gin.Context) {
callback := c.DefaultQuery("callback", "")
if callback == "" {
c.JSON(200, gin.H{"data": "no callback provided"})
return
}
// 合法性检查（防止 XSS）
re := regexp.MustCompile(`^[a-zA-Z_$][a-zA-Z0-9_$]*$`)
if !re.MatchString(callback) {
c.AbortWithStatusJSON(400, gin.H{"error": "invalid callback name"})
return
}
data := gin.H{"result": "ok", "ts": time.Now().Unix()}
jsonBytes, _ := json.Marshal(data)
c.Header("Content-Type", "text/javascript; charset=utf-8")
c.Header("Access-Control-Allow-Origin", "*")
c.String(200, "%s(%s)", callback, string(jsonBytes))
})
c.JSONP() 和手动实现的性能与兼容性差异
两者底层都是序列化后字符串拼接，性能几乎无差别。真正影响落地的是兼容性：
-
c.JSONP()：不设Access-Control-Allow-Origin，Chrome 90+ 会因 CORS 预检失败而阻塞响应；IE11 下对application/javascript支持不稳定 - 手动实现：可精确控制 header、MIME、状态码、错误路径，且能集成到统一错误中间件中
- 注意：Nginx 等反向代理可能重写
Content-Type，建议在 proxy_pass 后显式加add_header Content-Type "text/javascript";
JSONP 已是遗留方案，如果可控客户端，优先用 CORS + fetch；若必须支持老 IE 或受限环境，手动构造比依赖 c.JSONP() 更可靠——尤其是回调名校验和 header 设置，漏掉任一环节都会导致前端白屏或报错。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
