如何在Golang中处理跨域请求_CORS跨域请求解决方案与实现-Golang

Go的net/http默认不支持CORS，需手动设置响应头或使用gorilla/handlers等中间件；注意Access-Control-Allow-Origin与Credentials不能共存于”*”，OPTIONS预检必须正确响应。

Go 的 net/http 默认不处理 CORS

Go 标准库的 http.ServeMux 和 http.ListenAndServe 完全不关心 Origin、Access-Control-Allow-* 等头字段。浏览器发起跨域请求时，如果服务端没返回正确的响应头，预检请求（OPTIONS）会失败，或后续请求被拦截——这不是前端写错了，是后端根本没应答 CORS 协议。

手动加 Header 最简但易漏细节

在 handler 中直接写 w.Header().Set("Access-Control-Allow-Origin", "*") 能解决部分问题，但有硬伤：

• Access-Control-Allow-Origin 不能和 Credentials: true 共存，若前端设了 withCredentials: true，这里必须填具体域名（如 "https://example.com"），不能用 "*"
• 带自定义 header（如 X-Auth-Token）或非简单方法（PUT/DELETE）的请求，需显式回应 Access-Control-Allow-Headers 和 Access-Control-Allow-Methods
• 预检请求（OPTIONS）必须被路由捕获并返回 204，否则浏览器直接报错 preflight is invalid

用 gorilla/handlers 中间件省去重复逻辑

比手写更可靠：它自动处理 OPTIONS、校验 Origin、合并 headers，且支持细粒度配置。安装：go get -u github.com/gorilla/handlers。

基础用法示例：

import "github.com/gorilla/handlers"
func main() {
r := http.NewServeMux()
r.HandleFunc("/api/data", dataHandler)
// 允许所有源（开发用），禁用 credentials
corsHandler := handlers.CORS(
    handlers.AllowedOrigins([]string{"*"}),
    handlers.AllowedMethods([]string{"GET", "POST", "PUT", "DELETE", "OPTIONS"}),
    handlers.AllowedHeaders([]string{"Content-Type", "Authorization"}),
)(r)

http.ListenAndServe(":8080", corsHandler)
}
生产环境建议替换 handlers.AllowedOrigins([]string{"https://myapp.com"})，并根据实际接口补充 handlers.ExposedHeaders 或 handlers.MaxAge。