Kratos框架跨域请求怎么处理？HTTP中间件CORS配置技巧-Golang-PHP中文网

kratos gateway 的 cors 必须在 config.yaml 中统一配置，因其作为独立进程默认拦截并响应 options 预检请求，且 allowcredentials: true 时 alloworigins 禁用 "*"，否则浏览器静默丢弃响应。

kratos框架跨域请求怎么处理？http中间件cors配置技巧

Kratos 的跨域必须配在 Gateway 层的 config.yaml 里，下游 service 加 CORS 中间件完全无效——因为网关已拦截 OPTIONS 请求，根本不会转发过去。

为什么 Kratos Gateway 必须统一配 CORS

Kratos Gateway 是独立进程，所有 HTTP 流量先经过它再路由到下游服务。它的 cors 中间件默认开启且 OptionsPassthrough: false，这意味着浏览器发来的预检 OPTIONS 请求会被网关直接处理并返回 204，根本不会透传给后端 service。

常见错误现象包括：

Response to preflight request doesn't pass access control check
控制台只报 CORS 错误，但后端日志里完全看不到 OPTIONS 请求
即使 downstream service 用 gorilla/handlers.CORS() 配了头，浏览器依然收不到 Access-Control-Allow-Origin

根本原因：网关没配 CORS，或配了但响应头被覆盖/未生效。

`allowCredentials: true` 时 `allowOrigins` 不能写 `["*"]`

这是最常踩的坑——allowCredentials: true 表示允许前端携带 Cookie 或 Authorization 头，此时浏览器强制要求 Access-Control-Allow-Origin 必须是具体域名，禁止通配符 *。否则响应会被静默丢弃，连控制台错误都不会出现。

正确做法：

开发环境：硬编码本地地址，如 ["http://localhost:3000", "https://app.example.com"]
生产环境：禁用 ["*"]，改用动态白名单逻辑（从请求头 Origin 提取 host，校验后再回写该值）
务必显式配置 allowMethods: ["GET", "POST", "PUT", "DELETE", "OPTIONS"]，漏掉 "OPTIONS" 会导致预检失败
若前端带自定义 header（如 X-Auth-Token），allowHeaders 也得列全，不能只写 ["*"]（部分浏览器不支持）

如何验证网关是否正确处理了 OPTIONS 预检

别依赖浏览器 Network 面板看“有没有发出去”，要直接用 curl 模拟真实预检行为：

Kratos框架 2.8.2

Kratos框架 2.8.2 源码包下载，针对 Watch Resolver goroutine 测试及指标、日志默认值问题进行修正。

下载

curl -v -X OPTIONS \
  -H "Origin: http://localhost:3000" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: X-Auth-Token" \
  http://your-gateway/api/v1/users

关键看响应头是否包含：