正确配置CORS需通过中间件设置Access-Control-Allow-Origin、Methods、Headers及Credentials，避免使用通配符并校验可信源，防止预检请求漏洞，结合HTTPS、CSRF防护与安全头增强整体安全性。
在使用 Golang 构建 HTTP 服务时，跨域请求（CORS）是前后端分离开发中常见的问题。若处理不当，不仅影响功能，还可能引入安全风险。正确配置 CORS 策略既能保证接口可用性，又能提升系统安全性。
理解跨域与预检请求
浏览器出于安全考虑实施同源策略，当请求的协议、域名或端口任一不同，即视为跨域。跨域请求分为简单请求和非简单请求。非简单请求（如携带自定义头、使用 PUT/DELETE 方法）会先发送 OPTIONS 预检请求，服务器需正确响应才能继续实际请求。
Go 的 net/http 包默认不开启 CORS 支持，需手动设置响应头。关键响应头包括：
- Access-Control-Allow-Origin：指定允许访问的源，避免使用通配符 * 在涉及凭证时
- Access-Control-Allow-Methods：列出允许的 HTTP 方法
- Access-Control-Allow-Headers：声明允许的请求头字段
- Access-Control-Allow-Credentials：是否允许携带凭据（如 Cookie）
中间件实现精细化控制
推荐使用中间件方式统一处理跨域逻辑，便于维护和复用。以下是一个轻量级 CORS 中间件示例：
立即学习“go语言免费学习笔记（深入）”；
func corsMiddleware(next http.Handler) http.Handler { return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { origin := r.Header.Get("Origin") allowedOrigin := "https://yourdomain.com" // 明确指定可信源 w.Header().Set("Access-Control-Allow-Origin", allowedOrigin)
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
w.Header().Set("Access-Control-Allow-Credentials", "true")
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next.ServeHTTP(w, r)
})}
将中间件应用于路由链：
http.Handle("/api/", corsMiddleware(yourHandler)) http.ListenAndServe(":8080", nil)
注意不要重复设置头信息，避免冲突。
防范常见安全风险
CORS 配置错误可能导致信息泄露或 CSRF 攻击。应遵循最小权限原则：
- 避免设置 Access-Control-Allow-Origin: *，尤其在允许凭据时，否则浏览器会拒绝请求
- 严格校验 Origin 头，只放行受信域名，防止恶意站点调用 API
- 限制暴露的响应头（Access-Control-Expose-Headers），避免泄露敏感信息
- 对敏感操作增加二次验证，如 Token 校验或验证码，不依赖 CORS 作为唯一防护
结合其他安全措施增强防护
CORS 只是安全体系的一部分。建议同时启用：
- HTTPS 传输，防止中间人篡改响应头
- CSRF Token 机制，特别是涉及 Cookie 认证的场景
- 合理设置 Cookie 的 SameSite 属性（推荐 Strict 或 Lax）
- 使用 Go 的安全头工具如 gorilla/handlers 添加 HSTS、X-Content-Type-Options 等
可借助第三方库如 github.com/go-chi/cors 快速集成，但需审查其配置是否符合项目安全要求。
基本上就这些。跨域处理要兼顾可用性与安全，核心是精确控制信任源，避免过度开放。配合整体安全策略，能有效降低 Web 接口被滥用的风险。
