首页 > Golang > Go教程

Golang处理跨域请求方法详解

时间：2026-05-12 14:45:29 314浏览收藏

本文深入解析了Golang中处理跨域请求（CORS）的核心原理与最佳实践，直击net/http标准库默认不支持CORS的根本原因——它只负责基础HTTP流转，完全不介入浏览器同源策略所需的响应头与预检请求（OPTIONS）处理；文章不仅手把手演示如何用rs/cors等轻量库快速、安全地添加CORS头（包括Origin、Credentials、Headers等关键配置的取舍逻辑），更从架构高度指出微服务场景下必须将CORS统一收敛至API网关层，避免各服务重复实现、配置不一、内部调用冗余加头等典型陷阱，并精准拆解了405预检失败等高频问题的底层成因与修复路径——帮你彻底告别“接口通但前端拿不到数据”的玄学调试。

如何使用Golang处理微服务间的跨域请求_Golang CORS跨域处理与管理

为什么 `net/http` 默认不处理跨域？

Go 标准库的 http.ServeMux 和 http.Handler 完全不关心 CORS，它只负责转发请求、写响应头、返回状态码。浏览器在发跨域请求（比如前端调用 http://service-a:8080/api，而页面来自 http://localhost:3000）时，会先发一个 OPTIONS 预检请求；如果后端没返回正确的 Access-Control-Allow-Origin 等头，浏览器直接拦截响应，前端 JS 拿不到数据——不是接口没通，是被同源策略“卡”在客户端了。

所以你得自己加中间件，或用现成库补上这些头：

Access-Control-Allow-Origin：指定允许哪个源（不能设为 * 同时带凭证）
Access-Control-Allow-Methods：列出允许的 HTTP 方法，如 GET, POST, PUT, DELETE
Access-Control-Allow-Headers：声明前端可带哪些自定义请求头（比如 Authorization、X-Request-ID）
Access-Control-Allow-Credentials：设为 true 时，Access-Control-Allow-Origin 不能是 *

用 `rs/cors` 快速启用全局 CORS

社区最常用的是 rs/cors，轻量、无依赖、支持细粒度配置。它本质是个 http.Handler 包装器，套在你的路由外面即可。

安装：
go get github.com/rs/cors

基础用法示例：

import (
    "net/http"
    "github.com/rs/cors"
)

func main() {
    mux := http.NewServeMux()
    mux.HandleFunc("/api/users", usersHandler)
    
    // 允许所有源（开发用），但禁止带凭证
    handler := cors.Default().Handler(mux)
    
    http.ListenAndServe(":8080", handler)
}

生产环境别用 cors.Default()，应显式控制：

用 cors.New(cors.Options{...}) 替代，明确设置 AllowedOrigins（支持通配符如 https://*.example.com）
若需传 cookie 或 token，必须同时设 AllowCredentials: true 和 AllowedOrigins 为具体域名列表
ExposedHeaders 要填前端 JS 实际需要读取的响应头（如 X-Total-Count），否则 response.headers.get(...) 拿不到

微服务场景下，CORS 应该在哪一层做？

答案是：**在 API 网关层统一做，而不是每个微服务自己加**。否则会出现几个问题：

每个服务重复写 CORS 配置，运维难收敛
不同服务返回的 CORS 头不一致（比如一个允许 PUT，另一个没开），前端调用行为不可预期
服务间内部调用（如 service-a → service-b）也走 CORS 中间件，纯属冗余，还可能误加头影响链路追踪

典型做法：

网关（如 Kong、Traefik、或自研 Go 网关）接收所有外部请求，校验 Origin、添加标准 CORS 头、再转发给下游服务
微服务内部通信走内网地址（如 http://service-b:8000），不经过网关，也就不触发浏览器 CORS 检查——这部分根本不需要任何 CORS 配置
若某服务必须直连（比如调试时绕过网关），才临时启用 rs/cors，上线前删掉

常见错误：预检请求 405 Method Not Allowed

这是最典型的 CORS 故障现象：浏览器发 OPTIONS 请求，后端返回 405，说明你的路由没注册对 OPTIONS 方法。

原因和解法：

http.HandleFunc 只注册了 GET 或 POST，没覆盖 OPTIONS —— rs/cors 会自动处理预检，但前提是它能接管请求；如果你用的是 gorilla/mux 或其他路由，确保 cors 中间件包裹的是最终 Handler，而非某个子路由
用了 http.ServeMux，但没注册 OPTIONS 路由，又没挂中间件——此时需手动加：mux.HandleFunc("/api/{path:.*}", optionsHandler)，或改用 rs/cors
某些反向代理（如 Nginx）默认不转发 OPTIONS，检查配置里是否有 limit_except 或 if ($request_method = OPTIONS) 之类规则拦截了