buffalo 默认不自动处理 options 预检请求，需手动为每个跨域端点显式注册 options 路由并配置 cors 头，或结合自定义中间件实现；仅依赖 middleware.secureheaders 无法解决预检问题。
Buffalo 默认不自动处理 OPTIONS 预检请求
Buffalo 不像 Gin 或 Echo 那样默认为 CORS 路由注入 OPTIONS 处理逻辑。它把预检请求交由中间件或显式路由控制——这意味着如果你的前端发跨域请求（比如带 Authorization 头或非简单方法），而没配好 OPTIONS，就会直接 404 或被拒绝。
手动注册 OPTIONS 路由是最可靠的方式
在 app.go 的路由定义区（通常是 App() 函数内），对需要支持跨域的路径显式添加 OPTIONS：
app.Options("/api/users", func(c buffalo.Context) error {
c.Response().Header().Set("Access-Control-Allow-Origin", "*")
c.Response().Header().Set("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,PATCH,OPTIONS")
c.Response().Header().Set("Access-Control-Allow-Headers", "Content-Type,Authorization")
c.Response().Header().Set("Access-Control-Allow-Credentials", "true")
return c.Render(200, r.NoContent())
})
- 必须放在对应
GET/POST等路由之前，否则可能被后续路由拦截 -
r.NoContent()返回空响应体 + 200 是标准做法；用c.Render(204, ...)也行，但 Buffalo 的r.NoContent()更语义清晰 - 如果多个路径都需要，别重复写——抽成函数或用循环注册
用 middleware.SecureHeaders 不解决 OPTIONS 问题
middleware.SecureHeaders 只负责设置安全头（如 X-Content-Type-Options），它 不会 自动响应 OPTIONS 请求，也不会添加 Access-Control-Allow-* 头。误以为启用了这个中间件就等于支持 CORS，是常见误区。
真正要支持跨域，你得自己做两件事：
Buffalo框架 1.0.1
下载
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
- 显式注册
OPTIONS路由（如上） - 在所有相关路由的中间件链中插入 CORS 头设置逻辑（比如用自定义中间件统一加
Access-Control-Allow-Origin）
CORS 中间件 + OPTIONS 路由组合才完整
仅靠中间件无法覆盖预检请求，因为中间件只在匹配到主路由时才执行；而 OPTIONS 预检往往不匹配任何业务路由，直接 404。所以必须两者并存：
// 自定义 CORS 中间件（加在 app.Use() 中）
func CORS() buffalo.MiddlewareFunc {
return func(next buffalo.Handler) buffalo.Handler {
return func(c buffalo.Context) error {
c.Response().Header().Set("Access-Control-Allow-Origin", "https://your-frontend.com")
c.Response().Header().Set("Access-Control-Allow-Credentials", "true")
if c.Request().Method == "OPTIONS" {
c.Response().Header().Set("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,PATCH,OPTIONS")
c.Response().Header().Set("Access-Control-Allow-Headers", "Content-Type,Authorization")
return c.Render(200, r.NoContent())
}
return next(c)
}
}
}
注意：这种写法把 OPTIONS 响应逻辑塞进中间件里，虽能工作，但耦合度高、调试困难。生产环境更推荐第一种——独立 OPTIONS 路由 + 独立 CORS 中间件。
真正容易被忽略的是：Buffalo 的路由匹配是精确的，/api/users/* 这类通配不自动覆盖 OPTIONS /api/users；每个需预检的端点都得单独声明，哪怕只是返回 200 + 头。
