buffalo的cors中间件常失效，因其不处理预检options请求和websocket升级；必须显式注册options路由并手动配置upgrader.checkorigin。
Buffalo 默认不处理跨域，app.Use(middleware.CORS()) 不能覆盖预检请求和 WebSocket 升级，必须在路由层显式注册 OPTIONS handler 并单独配置 upgrader.CheckOrigin。
为什么 Buffalo 的 CORS 中间件经常失效
Buffalo 的中间件链只在路由匹配成功后才执行，而浏览器发出的 OPTIONS 预检请求可能根本没走到你注册的 handler —— 尤其是当你用 app.GET("/ws", ...) 这类显式路由时，中间件压根不触发。日志里看不到该请求，控制台却报 No 'Access-Control-Allow-Origin' header is present，就是这个原因。
-
middleware.CORS()默认不响应OPTIONS，也不支持AllowCredentials: true场景下用*原点 - 对
app.Resource()生成的 REST 路由，Buffalo 会自动 fallback 到内置 OPTIONS 处理；但对app.GET("/api/xxx")或自定义 handler，完全不生效 - 若你在 handler 内部用
c.Response().Header().Set()加头，但没在if c.Request().Method == "OPTIONS"分支里提前return，会触发http: multiple response.WriteHeader calls
如何为普通 API 路由手动注册 OPTIONS handler
最稳妥的方式是绕过中间件，在 routes.go 里为每个需要跨域的路径显式注册 OPTIONS 路由，并确保它排在业务路由之前。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 必须调用
c.Render(200, nil)或w.WriteHeader(http.StatusOK)，不能只设 header 不返回状态码 -
Access-Control-Allow-Origin设为*时，Access-Control-Allow-Credentials必须为"false"；若需true，必须写死具体源，如"http://localhost:3000" - 务必包含
Access-Control-Allow-Methods和Access-Control-Allow-Headers，否则预检会失败
app.Options("/api/messages", func(c buffalo.Context) error {
c.Response().Header().Set("Access-Control-Allow-Origin", "http://localhost:3000")
c.Response().Header().Set("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS")
c.Response().Header().Set("Access-Control-Allow-Headers", "Content-Type,Authorization")
c.Response().Header().Set("Access-Control-Allow-Credentials", "true")
return c.Render(200, nil)
})
app.Get("/api/messages", func(c buffalo.Context) error {
// 业务逻辑
})
如何正确配置 WebSocket 的跨域升级
Buffalo 的 WebSocket 路由（如 app.Get("/ws", websocketHandler)）完全绕过中间件链，CORS 头无效。必须在 handler 内部初始化 upgrader 并重写 CheckOrigin。
- 不能复用
middleware.CORS()的配置，它对 WebSocket 没作用 -
upgrader.CheckOrigin必须返回true或显式校验r.Header.Get("Origin")，否则升级直接被拒绝 - 若前端带 cookie（
credentials: 'include'），CheckOrigin里不能放行*，必须比对白名单
var upgrader = websocket.Upgrader{
CheckOrigin: func(r *http.Request) bool {
origin := r.Header.Get("Origin")
return origin == "http://localhost:3000" || origin == "https://myapp.com"
},
}
容易被忽略的关键细节
动态 origin（比如从数据库查白名单）不能靠 AllowedOrigins([]string{"*"}) 应付，必须用 AllowedOriginsFunc 或手写校验逻辑；Access-Control-Expose-Headers 若未显式设置，前端 JS 就读不到自定义响应头（如 X-Total-Count）；Nginx 反代时，还需透传 Origin 头并避免覆盖后端写的 CORS 头。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
