本文详细讲解如何在 Go Web 服务中正确配置 CORS（跨域资源共享），解决 Angular 前端调用本地开发后端时因同源策略导致的 403 OPTIONS 请求失败问题，涵盖 AllowedOrigins、AllowedMethods、AllowedHeaders 的组合使用与常见陷阱。
本文详细讲解如何在 go web 服务中正确配置 cors（跨域资源共享），解决 angular 前端调用本地开发后端时因同源策略导致的 403 options 请求失败问题，涵盖 `allowedorigins`、`allowedmethods`、`allowedheaders` 的组合使用与常见陷阱。
在基于 Go 构建 RESTful API 时，前端（如 Angular）运行在 https://www.php.cn/link/cbd35b795565394c06635007e20f1583，而后端服务运行在 http://localhost:8080，二者协议、主机或端口不同即构成跨域请求。浏览器会自动发起预检（preflight）OPTIONS 请求，若服务端未正确响应 CORS 头，请求将被拒绝——典型表现为 403 Forbidden 或 CORS error。
使用 Gorilla Handlers 是最简洁可靠的解决方案。关键在于 所有 CORS 选项必须统一传入 handlers.CORS()，而非单独调用多次（后者会导致配置被覆盖或忽略）。以下为推荐配置模式：
package main
import (
"log"
"net/http"
"os"
"github.com/gorilla/handlers"
"github.com/gorilla/mux"
)
func main() {
router := mux.NewRouter()
router.HandleFunc("/api/data", func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Content-Type", "application/json")
w.WriteHeader(http.StatusOK)
w.Write([]byte(`{"message": "success"}`))
}).Methods("GET", "POST")
// ✅ 正确：所有 CORS 选项作为参数一次性传入
corsHandler := handlers.CORS(
handlers.AllowedOrigins([]string{"*"}), // 允许任意来源（生产环境建议明确指定）
handlers.AllowedMethods([]string{"GET", "POST", "PUT", "DELETE", "OPTIONS"}),
handlers.AllowedHeaders([]string{"X-Requested-With", "Content-Type", "Authorization"}),
handlers.ExposedHeaders([]string{"X-Total-Count"}), // 可选：暴露给前端的响应头
handlers.AllowCredentials(), // 可选：允许携带 Cookie/认证信息（此时 AllowedOrigins 不能为 "*"）
)
log.Println("Server starting on :8080...")
log.Fatal(http.ListenAndServe(":8080",
handlers.LoggingHandler(os.Stdout, corsHandler(router))))
}
⚠️ 常见错误与注意事项：
-
拼写错误：如
X-Requested-Width（错误）→X-Requested-With（正确），预检请求中任意 header 名不匹配都会导致 403； -
AllowedOrigins与AllowCredentials冲突：若启用handlers.AllowCredentials()，AllowedOrigins*不可使用 `""**，必须显式列出可信域名（如[]string{"https://www.php.cn/link/cbd35b795565394c06635007e20f1583", "https://myapp.com"}`），否则中间件将拒绝请求； -
OPTIONS路由无需手动注册：handlers.CORS自动拦截并响应预检请求，确保你的router中没有重复定义/或通配路由的OPTIONS处理器，否则可能干扰中间件逻辑； -
调试技巧：使用
curl模拟预检时，务必确保-H "Access-Control-Request-Headers"中的 header 名与前端实际发送的一致（例如 Angular HttpClient 默认带Content-Type，需加入AllowedHeaders）。
最后，生产环境应避免 AllowedOrigins([]string{"*"})，改用白名单机制提升安全性；开发阶段可配合 handlers.AllowedOrigins([]string{"https://www.php.cn/link/cbd35b795565394c06635007e20f1583"}) 精准控制。正确配置后，前端跨域请求将无缝通过，不再触发 CORS 错误。
