正确响应OPTIONS请求是处理Golang跨域Preflight的关键。浏览器在发送复杂跨域请求前会先发起OPTIONS预检，携带Access-Control-Request-Method和Access-Control-Request-Headers等头部，服务器需返回包含Access-Control-Allow-Origin、Access-Control-Allow-Methods和Access-Control-Allow-Headers的响应头，并对OPTIONS请求返回200状态码。可通过在路由中手动处理OPTIONS方法或使用CORS中间件统一设置。推荐生产环境使用gorilla/handlers等成熟库，以实现安全、细粒度的CORS控制。开发阶段可允许所有来源，上线前应限制为具体域名。
在Golang中处理跨域Preflight请求，关键在于正确响应OPTIONS方法的请求。浏览器在发送某些跨域请求（如携带自定义头部或使用PUT、DELETE等方法）前，会先发送一个OPTIONS请求来确认服务器是否允许该操作。如果服务器没有正确响应这个预检请求，实际请求就会被拦截。
理解Preflight请求
Preflight请求是浏览器自动发起的OPTIONS请求，用于探测服务器是否支持即将进行的跨域操作。它通常包含以下头部：
- Access-Control-Request-Method：实际请求将使用的方法（如PUT、DELETE）
- Access-Control-Request-Headers：实际请求中包含的自定义头部
- Origin：请求来源
服务器必须以正确的CORS头部响应，浏览器才会继续发送实际请求。
手动处理OPTIONS请求
最直接的方式是在HTTP路由中显式处理OPTIONS请求：
立即学习“go语言免费学习笔记（深入）”；
http.HandleFunc("/api/data", func(w http.ResponseWriter, r *http.Request) {
// 设置CORS响应头
w.Header().Set("Access-Control-Allow-Origin", "*")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
if r.Method == "OPTIONS" {
// 预检请求直接返回200
w.WriteHeader(http.StatusOK)
return
}
// 处理实际请求
if r.Method == "GET" {
// 实际业务逻辑
w.Write([]byte("Hello"))
}
})
使用中间件统一处理
为避免每个路由重复设置，可以编写一个CORS中间件：
func corsMiddleware(next http.HandlerFunc) http.HandlerFunc {
return func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Access-Control-Allow-Origin", "*")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next(w, r)
}
}
// 使用方式
http.HandleFunc("/api/data", corsMiddleware(func(w http.ResponseWriter, r *http.Request) {
// 实际处理逻辑
w.Write([]byte("Data"))
}))
生产环境建议
在正式项目中推荐使用成熟的第三方库，比如gorilla/handlers：
import "github.com/gorilla/handlers"
// 启用CORS
headersOk := handlers.AllowedHeaders([]string{"X-Requested-With", "Content-Type", "Authorization"})
methodsOk := handlers.AllowedMethods([]string{"GET", "HEAD", "POST", "PUT", "DELETE", "OPTIONS"})
originsOk := handlers.AllowedOrigins([]string{"https://yourdomain.com"})
log.Fatal(http.ListenAndServe(":8080", handlers.CORS(originsOk, headersOk, methodsOk)(router)))
这种方式更安全，支持细粒度控制，并且经过广泛测试。
基本上就这些。核心是让OPTIONS请求快速返回正确响应，同时设置必要的CORS头部。开发阶段可以用星号允许所有来源，上线前记得限制具体域名以提高安全性。
