本文详细介绍了在go语言中使用标准`net/http`包处理跨域资源共享（cors）预检（options）请求的最佳实践。通过采用中间件（wrapper）模式，开发者可以优雅地将cors逻辑与业务逻辑分离，实现代码复用和清晰的结构。文章提供了具体的go代码示例，展示了如何构建一个通用的cors处理函数，并讨论了相关配置和注意事项，旨在帮助go开发者高效地应对跨域请求挑战。
理解 CORS 与预检请求
跨域资源共享（CORS）是一种基于 HTTP 头的机制，允许浏览器向跨源服务器发出 XMLHttpRequest 请求。当请求满足特定条件（例如使用非简单方法如 PUT、delete，或发送自定义 HTTP 头）时，浏览器会在发送实际请求之前，自动发起一个“预检”请求（Preflight Request）。
预检请求使用 OPTIONS HTTP 方法，其目的是询问服务器，实际请求是否安全以及服务器是否允许该请求。服务器收到 OPTIONS 请求后，需要返回一系列 access-Control-* 头来告知浏览器允许的源、方法、头等信息。如果预检成功，浏览器才会发送实际的请求；否则，请求会被阻止。
在 Go 语言中构建 restful API 时，尤其当 API 会被不同源的客户端（例如前端应用部署在不同域名或端口）调用时，正确处理这些 OPTIONS 预检请求至关重要。
Go 中处理预检请求的挑战
使用 Go 的 net/http 包时，开发者可能会面临如何优雅地处理 OPTIONS 请求的挑战。常见的初步设想包括：
-
在每个处理器函数内部进行方法判断： 这种方式虽然直接，但会导致大量的重复代码，并且将 CORS 逻辑与业务逻辑混淆，不利于维护和扩展。
func AddResourceHandler(rw http.ResponseWriter, r *http.Request) { switch r.Method { case "OPTIONS": // 处理预检请求：设置 CORS 头并返回 rw.Header().Set("Access-Control-Allow-Origin", "*") rw.Header().Set("Access-Control-Allow-Methods", "PUT, OPTIONS") rw.Header().Set("Access-Control-Allow-Headers", "Content-Type") rw.WriteHeader(http.StatusOK) return case "PUT": // 处理实际的 PUT 请求 // ... 业务逻辑 ... rw.Write([]byte("Resource added")) default: http.Error(rw, "Method not allowed", http.StatusMethodNotAllowed) } } -
为每个路由单独注册 OPTIONS 处理器（如使用 Gorilla Mux）： 使用像 Gorilla Mux 这样的路由库，可以为同一路径的不同 HTTP 方法注册不同的处理器。虽然比第一种方式更清晰，但仍然需要为每个需要 CORS 支持的路由路径重复注册一个 OPTIONS 处理器，效率不高。
// 假设 PreflightAddResourceHandler 专门处理 /someresource/item 的 OPTIONS 请求 r := mux.NewRouter() r.HandleFunc("/someresource/item", AddResourceHandler).Methods("PUT") r.HandleFunc("/someresource/item", PreflightAddResourceHandler).Methods("OPTIONS")
这些方法都缺乏通用性和优雅性。更推荐的方式是采用中间件（Middleware）模式来集中处理 CORS 逻辑。
推荐方案：CORS 中间件
在 Go 中，中间件是一种将 HTTP 请求处理逻辑（如日志记录、认证、CORS 处理）与业务逻辑分离的有效模式。通过创建一个通用的 CORS 中间件，我们可以将预检请求的处理逻辑抽象出来，并应用于任何需要 CORS 支持的处理器。
构建 CORS 中间件
一个 CORS 中间件可以作为一个高阶函数，它接收一个 http.Handler 作为参数，并返回一个新的 http.HandlerFunc。这个新的处理函数会检查请求方法是否为 OPTIONS。如果是，它就处理 CORS 相关的响应头；否则，它将请求传递给原始的业务处理器。
以下是一个基本的 CORS 中间件实现示例：
package main import ( "log" "net/http" ) // corsMiddleware 是一个通用的 CORS 中间件 func corsMiddleware(next http.Handler) http.HandlerFunc { return func(w http.ResponseWriter, r *http.Request) { // 设置通用的 CORS 响应头 // 允许所有来源进行访问（生产环境中应限制特定来源） w.Header().Set("Access-Control-Allow-Origin", "*") // 允许的 HTTP 方法 w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS") // 允许的请求头，这里包含了 Content-Type，通常也需要允许 Authorization 等 w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization") // 预检请求的缓存时间（秒），浏览器在此时间内无需再次发送预检请求 w.Header().Set("Access-Control-Max-Age", "86400") // 24小时 // 如果是 OPTIONS 预检请求，直接返回 200 OK if r.Method == http.MethodOptions { w.WriteHeader(http.StatusOK) return } // 如果不是 OPTIONS 请求，则将请求传递给下一个处理器 next.ServeHTTP(w, r) } } // yourRestHandler 是您的实际业务逻辑处理器 func yourRestHandler(w http.ResponseWriter, r *http.Request) { // 实际业务逻辑处理 log.Printf("Received %s request for %s", r.Method, r.URL.Path) w.Write([]byte("Hello from REST API!")) } func main() { // 创建一个 HTTP 处理器实例 handler := http.HandlerFunc(yourRestHandler) // 将业务处理器包装在 CORS 中间件中 http.Handle("/api/resource", corsMiddleware(handler)) log.Println("Server started on :8080") log.Fatal(http.ListenAndServe(":8080", nil)) }如何使用中间件
在上述示例中：
- corsMiddleware 函数接收一个 http.Handler（即您的业务处理器）并返回一个 http.HandlerFunc。
- 在 main 函数中，我们首先定义了 yourRestHandler，这是处理 /api/resource 路径的实际业务逻辑。
- 然后，我们通过 corsMiddleware(http.HandlerFunc(yourRestHandler)) 将 yourRestHandler 包装起来。
- 最后，使用 http.Handle(“/api/resource”, corsMiddleware(handler)) 将这个带有 CORS 逻辑的处理器注册到路由上。
这样，所有发往 /api/resource 的请求，无论是 GET、POST 还是 OPTIONS，都会先经过 corsMiddleware。OPTIONS 请求会被中间件处理并直接返回，而其他方法请求则会继续传递给 yourRestHandler。
进阶考虑与最佳实践
-
动态 Access-Control-Allow-Origin： 在生产环境中，将 Access-Control-Allow-Origin 设置为 * 是不安全的。您应该根据请求的 Origin 头来动态设置允许的源，或者只允许一个或几个特定的源。
// ... 在 corsMiddleware 内部 ... allowedOrigins := map[string]bool{ "http://localhost:3000": true, // 允许的前端应用地址 "https://yourfrontend.com": true, } requestOrigin := r.Header.Get("Origin") if allowedOrigins[requestOrigin] { w.Header().Set("Access-Control-Allow-Origin", requestOrigin) } else { // 如果不允许，可以选择不设置该头，或者设置一个默认值 // w.Header().Set("Access-Control-Allow-Origin", "http://default.com") } w.Header().Set("Vary", "Origin") // 告知浏览器 Origin 头可能影响响应 // ... -
处理 Access-Control-Allow-Headers 和 Access-Control-Expose-Headers：Access-Control-Allow-Headers 应该包含客户端在实际请求中可能发送的所有自定义头。Access-Control-Expose-Headers 用于在响应中告诉浏览器哪些非简单响应头可以被 javaScript 访问。
-
使用第三方 CORS 库： 对于更复杂的场景或生产环境，考虑使用成熟的第三方 CORS 库，例如 github.com/rs/cors。这些库通常提供了更全面的配置选项，包括：
- 允许的源列表（支持通配符或正则表达式）
- 允许的方法和头
- 是否允许发送凭据（Access-Control-Allow-Credentials）
- 预检请求缓存时间
- 错误处理等
使用 github.com/rs/cors 的示例：
package main import ( "log" "net/http" "github.com/rs/cors" ) func yourRestHandler(w http.ResponseWriter, r *http.Request) { log.Printf("Received %s request for %s", r.Method, r.URL.Path) w.Write([]byte("Hello from REST API!")) } func main() { // 配置 CORS 选项 c := cors.New(cors.Options{ AllowedOrigins: []string{"http://localhost:3000", "https://yourfrontend.com"}, AllowedMethods: []string{"GET", "POST", "PUT", "DELETE", "OPTIONS"}, AllowedHeaders: []string{"Content-Type", "Authorization"}, AllowCredentials: true, // 如果需要支持 cookie/认证头 MaxAge: 86400, // 预检请求缓存时间 }) // 将业务处理器包装在 CORS 处理器中 handler := c.Handler(http.HandlerFunc(yourRestHandler)) http.Handle("/api/resource", handler) log.Println("Server started on :8080") log.Fatal(http.ListenAndServe(":8080", nil)) }这种方式更加简洁和强大，推荐在实际项目中使用。
总结
在 Go 服务器中处理 CORS 预检请求，最优雅且可维护的方式是采用中间件模式。通过创建一个通用的 corsMiddleware 函数，您可以将 CORS 逻辑与业务逻辑有效分离，提高代码的复用性和可读性。对于简单的场景，可以手动实现中间件；而对于复杂的生产环境，强烈建议使用像 github.com/rs/cors 这样的专业库，以获得更全面和健壮的 CORS 支持。正确处理 CORS 对于确保跨域 Web 应用的顺畅运行至关重要。