Echo.CORSWithConfig 中 AllowCredentials: true 时不能设 Access-Control-Allow-Origin 为 "*"，因浏览器禁止该组合；须改用具体域名白名单或移除凭据支持。
为什么 Echo.CORSWithConfig 不能直接写 "*" 配合 AllowCredentials: true
浏览器明确禁止这种组合：当响应头中设置了 Access-Control-Allow-Origin: "*"，又同时设置了 Access-Control-Allow-Credentials: true（比如前端带了 withCredentials: true），Chrome、Firefox 等会直接拒绝响应，控制台报错 The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'。
解决办法只能二选一：
- 去掉
AllowCredentials: true，前端也去掉withCredentials（适合无登录态的公开 API） - 把
AllowOrigins改成具体白名单，例如[]string{"http://localhost:3000", "https://app.example.com"}（推荐用于生产环境）
注意：域名末尾不加斜杠，协议、端口都必须完全匹配；开发时用 "http://localhost:3000"，别漏掉 http://。
Echo.CORSWithConfig 中 AllowHeaders 填什么才不丢请求
如果前端发的是带 Authorization 或自定义头（如 X-Trace-ID、X-API-Key）的请求，而你没在 AllowHeaders 里显式列出，浏览器会在预检阶段就失败，返回 403 或直接卡住。
常见安全且实用的填法：
- 必填：
echo.HeaderAuthorization（对应Authorization）、echo.HeaderContentType（对应Content-Type） - 按需加：
echo.HeaderXCSRFToken、echo.HeaderXRequestedWith、"X-User-ID"这类业务头（字符串字面量即可） - 避免写
"*"—— Echo 不支持通配符，写了会被忽略，等于没设
顺带提醒：Content-Type 允许值默认只含 application/json、text/plain、multipart/form-data；如果前端用 application/vnd.api+json 这类 MIME 类型，得额外加进 AllowHeaders 并确保后端能解析。
OPTIONS 预检请求 404 或 500？检查中间件注册顺序
Echo 的中间件是洋葱模型，CORS 中间件必须在路由匹配之前生效。如果你把 e.Use(echo_middleware.CORSWithConfig(...)) 写在所有 e.GET/e.POST 之后，那 OPTIONS 请求根本到不了 CORS 中间件，而是被路由系统当成未注册路径返回 404；更糟的是，若某中间件 panic 且没被 Recover() 拦住，还可能返回 500。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
正确姿势只有这一种：
- 先调用
e.Use(...)注册全局中间件（包括 CORS、Logger、Recover、Gzip） - 再注册所有路由（
e.GET、e.POST等） - 最后调用
e.Start()
另外，CORSWithConfig 默认已处理 OPTIONS，无需自己再写 e.OPTIONS("/*", ...) —— 重复注册反而可能干扰预检逻辑。
开发 vs 生产环境的 MaxAge 和 ExposeHeaders 差异
MaxAge 控制预检结果缓存时间（单位秒）。开发时设成 172800（48 小时）没问题；但上线后建议调低到 3600（1 小时）或更低，方便快速调整策略而不被客户端缓存卡住。
ExposeHeaders 是告诉浏览器“哪些响应头前端 JS 可以读取”。默认只暴露 Content-Length，如果你的前端需要读 X-Total-Count（分页总数）或 X-Rate-Limit-Remaining，就必须显式加入该列表，例如：ExposeHeaders: []string{echo.HeaderContentLength, "X-Total-Count", "X-Rate-Limit-Remaining"}。
这个字段常被忽略，导致前端 response.headers.get("X-Total-Count") 返回 null，但控制台又不报错 —— 属于静默失败，排查起来最费时间。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
