答案：通过中间件设置CORS响应头可解决Golang HTTP服务跨域问题，需指定可信域名、处理预检请求并禁用通配符；涉及凭证时应明确设置Allow-Origin和Allow-Credentials，结合白名单、HTTPS、速率限制及日志监控提升安全性。
在使用 Golang 构建 HTTP 服务时，前端请求常因浏览器同源策略导致跨域问题。同时，开放跨域可能引入安全风险。以下是跨域处理的实现方式与关键安全优化建议。
启用 CORS 的基本实现
通过中间件设置响应头，允许指定来源的请求访问接口：
func corsMiddleware(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Access-Control-Allow-Origin", "https://yourfrontend.com")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next.ServeHTTP(w, r)
})
}
将该中间件注册到路由中即可生效。注意不要随意使用 * 通配符作为允许来源，尤其涉及凭证时会失效且不安全。
限制跨域来源提升安全性
生产环境中应明确指定可信的前端域名，避免使用通配符。可配置白名单机制：
立即学习“go语言免费学习笔记（深入）”；
- 维护允许的 Origin 列表，动态匹配请求头中的 Origin
- 只对列入白名单的来源返回
Access-Control-Allow-Origin - 敏感接口建议结合 Referer 或 Token 验证双重校验
例如：
allowedOrigins := map[string]bool{
"https://example.com": true,
"https://admin.example.com": true,
}
origin := r.Header.Get("Origin")
if allowedOrigins[origin] {
w.Header().Set("Access-Control-Allow-Origin", origin)
}
处理凭证与预检请求细节
当请求携带 Cookie 或认证头（如 Authorization）时，需额外配置：
- 设置
Access-Control-Allow-Credentials: true - 此时
Allow-Origin不能为*，必须是具体域名 - 确保预检请求（OPTIONS）正确响应，避免浏览器阻断后续请求
若接口无需凭证，建议不开启 Credentials 支持，降低泄露风险。
附加安全建议
跨域配置只是起点，还需配合其他措施：
- 使用 HTTPS 防止中间人篡改 CORS 头
- 对 API 接口进行速率限制，防止滥用
- 记录异常 OPTIONS 或高频跨域请求，用于监控潜在攻击
- 避免暴露敏感头信息到前端，控制
Access-Control-Expose-Headers
基本上就这些。合理配置 CORS 能解决开发中的跨域难题，但必须结合安全实践，防止因疏忽导致信息泄露或 CSRF 风险。不复杂但容易忽略。
