答案：Golang处理CORS需设置响应头，支持预检请求；可通过中间件或gorilla/handlers库配置允许的源、方法、头部及凭据，确保前后端分离架构下跨域请求正常通信。
在使用Golang开发Web服务时，跨域请求（CORS）是前后端分离架构中常见的问题。当浏览器发起请求的目标地址与当前页面的协议、域名或端口不一致时，就会触发跨域限制。为使前端能正常访问后端API，必须在服务端正确配置CORS策略。
理解跨域请求产生的原因
浏览器出于安全考虑，实施了同源策略（Same-Origin Policy），禁止从一个源加载的脚本获取或操作另一个源的资源。例如前端运行在 http://localhost:3000，而后端API位于 http://localhost:8080，即使都在本地，端口不同也构成跨域。
此时，浏览器会在发送非简单请求（如带自定义头、PUT/DELETE方法等）前先发起 OPTIONS 预检请求（Preflight Request），要求服务器确认是否允许该跨域操作。
手动实现CORS中间件
最直接的方式是在Golang的HTTP处理链中添加中间件来设置必要的响应头：
立即学习“go语言免费学习笔记（深入）”；
- Access-Control-Allow-Origin：指定允许访问的源，可设为具体域名或通配符 *
- Access-Control-Allow-Methods：声明允许的HTTP方法，如GET、POST、PUT、DELETE等
- Access-Control-Allow-Headers：允许的请求头字段，如Content-Type、Authorization等
- Access-Control-Allow-Credentials：是否允许携带凭据（如Cookie），若启用则不能将Allow-Origin设为*
示例代码如下：
func corsMiddleware(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Access-Control-Allow-Origin", "http://localhost:3000")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
w.Header().Set("Access-Control-Allow-Credentials", "true")
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next.ServeHTTP(w, r)
})
}
// 使用方式
http.Handle("/api/", corsMiddleware(http.StripPrefix("/api", apiMux)))
http.ListenAndServe(":8080", nil)
使用第三方库简化处理
为了减少重复编码并支持更复杂的场景，推荐使用成熟的开源库，如 github.com/gorilla/handlers 中的 CORS 功能。
安装依赖：
go get github.com/gorilla/handlers
配置CORS策略：
import "github.com/gorilla/handlers"
headersOk := handlers.AllowedHeaders([]string{"X-Requested-With", "Content-Type", "Authorization"})
methodsOk := handlers.AllowedMethods([]string{"GET", "POST", "PUT", "DELETE", "OPTIONS"})
originsOk := handlers.AllowedOrigins([]string{"http://localhost:3000"})
log.Fatal(http.ListenAndServe(":8080", handlers.CORS(originsOk, headersOk, methodsOk)(router)))
该方式简洁且可灵活控制各项策略，适合生产环境使用。
处理凭证和预检请求的注意事项
如果前端需要发送Cookie或使用认证Token，需在请求中设置 withCredentials: true，同时后端必须：
- 将 Access-Control-Allow-Origin 设置为具体域名，不能是 *
- 设置 Access-Control-Allow-Credentials: true
- 确保预检请求返回正确的状态码（200或204）而不继续执行后续逻辑
否则浏览器会拒绝响应数据，提示“Credentials flag is 'true'”相关错误。
基本上就这些。只要合理配置响应头，并区分简单请求与预检请求，Golang服务就能稳定支持跨域调用。实际项目中建议封装成通用中间件或使用成熟库，提升可维护性。
