答案：在Golang中解决CORS问题需配置响应头以支持跨域，同时保障安全。通过中间件设置Access-Control-Allow-Origin、Methods和Headers，处理OPTIONS预检请求，并避免使用通配符，采用白名单校验来源；若需支持凭证，应明确指定域名并启用Allow-Credentials，结合gorilla/handlers等库可简化管理，遵循最小权限原则防止安全风险。
在使用 Golang 构建 HTTP 服务时，前后端分离架构下经常会遇到跨域（CORS）问题。浏览器出于安全考虑，默认禁止前端 JavaScript 向非同源地址发起请求。要让前端能正常调用后端 API，需要在服务端正确配置跨域策略。同时，开放跨域可能带来安全风险，必须合理设置以防止恶意利用。
启用基本跨域支持
最简单的方式是在 HTTP 处理器中添加必要的响应头，允许浏览器接受跨域请求：
func enableCORS(next http.HandlerFunc) http.HandlerFunc {
return func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Access-Control-Allow-Origin", "https://yourfrontend.com")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next(w, r)
}
}
// 使用示例
http.HandleFunc("/api/data", enableCORS(handleData))
上面的中间件设置了允许的来源、HTTP 方法和请求头。注意对预检请求（OPTIONS）直接返回 200，避免继续执行后续逻辑。
限制跨域来源提升安全性
生产环境中应避免使用 * 通配符开放所有来源，而是明确指定可信域名：
立即学习“go语言免费学习笔记（深入）”；
- 只允许已知的前端域名，如 https://app.yoursite.com
- 可维护一个白名单列表，动态判断 Origin 是否合法
- 避免将用户输入反射到 Access-Control-Allow-Origin 头中，以防绕过校验
func isValidOrigin(origin string) bool {
allowed := []string{"https://yourfrontend.com", "https://admin.yoursite.com"}
for _, a := range allowed {
if a == origin {
return true
}
}
return false
}
处理凭证与敏感头的安全要求
如果接口需要携带 Cookie 或自定义认证头（如 Authorization），需额外配置：
- 设置 Access-Control-Allow-Credentials: true
- 此时 Access-Control-Allow-Origin 不能为 *，必须是具体域名
- 确保前端请求设置了 withCredentials = true
- 敏感头如 Authorization 需在 Allow-Headers 中显式声明
集成第三方库简化管理
对于复杂项目，推荐使用成熟的 CORS 库，例如 gorilla/handlers：
import "github.com/gorilla/handlers"
corsHandler := handlers.CORS(
handlers.AllowedOrigins([]string{"https://yourfrontend.com"}),
handlers.AllowedMethods([]string{"GET", "POST", "PUT", "DELETE"}),
handlers.AllowedHeaders([]string{"Content-Type", "Authorization"}),
handlers.AllowCredentials(),
)
http.ListenAndServe(":8080", corsHandler(yourRouter))
该方式更简洁，且支持灵活配置，适合大型应用。
基本上就这些。跨域不是单纯放开就行，关键是按最小权限原则控制来源、方法和头信息，避免因疏忽导致 CSRF 或信息泄露。合理使用中间件或专用库，既能保证功能可用，也能守住安全底线。
