当前位置：首页 > 文章列表 > Golang > Go教程 > Golang处理跨域Preflight请求技巧

Golang处理跨域Preflight请求技巧

2026-03-04 11:04:55 0浏览收藏

本文深入解析了Golang中处理跨域Preflight（预检）请求的核心要点：浏览器在发送复杂跨域请求前会自动发起OPTIONS请求，服务器必须正确响应——设置Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers等关键CORS头部，并对OPTIONS方法返回200状态码；文章对比了手动路由处理、自定义中间件和生产级方案（如gorilla/handlers库）三种实现方式，强调开发阶段可临时放宽限制（如允许所有来源），但上线前务必收敛至具体可信域名以保障安全，是Go开发者解决前端跨域问题不可或缺的实战指南。

如何在Golang中处理跨域Preflight请求

在Golang中处理跨域Preflight请求，关键在于正确响应OPTIONS方法的请求。浏览器在发送某些跨域请求（如携带自定义头部或使用PUT、DELETE等方法）前，会先发送一个OPTIONS请求来确认服务器是否允许该操作。如果服务器没有正确响应这个预检请求，实际请求就会被拦截。

理解Preflight请求

Preflight请求是浏览器自动发起的OPTIONS请求，用于探测服务器是否支持即将进行的跨域操作。它通常包含以下头部：

Access-Control-Request-Method：实际请求将使用的方法（如PUT、DELETE）
Access-Control-Request-Headers：实际请求中包含的自定义头部
Origin：请求来源

服务器必须以正确的CORS头部响应，浏览器才会继续发送实际请求。

手动处理OPTIONS请求

最直接的方式是在HTTP路由中显式处理OPTIONS请求：

http.HandleFunc("/api/data", func(w http.ResponseWriter, r *http.Request) {
    // 设置CORS响应头
    w.Header().Set("Access-Control-Allow-Origin", "*")
    w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
    w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")

    if r.Method == "OPTIONS" {
        // 预检请求直接返回200
        w.WriteHeader(http.StatusOK)
        return
    }

    // 处理实际请求
    if r.Method == "GET" {
        // 实际业务逻辑
        w.Write([]byte("Hello"))
    }
})

使用中间件统一处理

为避免每个路由重复设置，可以编写一个CORS中间件：

func corsMiddleware(next http.HandlerFunc) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        w.Header().Set("Access-Control-Allow-Origin", "*")
        w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
        w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")

        if r.Method == "OPTIONS" {
            w.WriteHeader(http.StatusOK)
            return
        }

        next(w, r)
    }
}

// 使用方式
http.HandleFunc("/api/data", corsMiddleware(func(w http.ResponseWriter, r *http.Request) {
    // 实际处理逻辑
    w.Write([]byte("Data"))
}))

生产环境建议

在正式项目中推荐使用成熟的第三方库，比如gorilla/handlers：

import "github.com/gorilla/handlers"

// 启用CORS
headersOk := handlers.AllowedHeaders([]string{"X-Requested-With", "Content-Type", "Authorization"})
methodsOk := handlers.AllowedMethods([]string{"GET", "HEAD", "POST", "PUT", "DELETE", "OPTIONS"})
originsOk := handlers.AllowedOrigins([]string{"https://yourdomain.com"})

log.Fatal(http.ListenAndServe(":8080", handlers.CORS(originsOk, headersOk, methodsOk)(router)))

这种方式更安全，支持细粒度控制，并且经过广泛测试。

基本上就这些。核心是让OPTIONS请求快速返回正确响应，同时设置必要的CORS头部。开发阶段可以用星号允许所有来源，上线前记得限制具体域名以提高安全性。

今天带大家了解了的相关知识，希望对你有所帮助；关于Golang的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~

跨域请求