Gin框架跨域（CORS）处理详解（手把手教你解决前端请求被拦截问题）

什么是CORS？

CORS（Cross-Origin Resource Sharing，跨源资源共享）是一种安全机制，由浏览器实施，用于限制一个源（origin）的网页向另一个源的服务器发起请求。这里的“源”指的是协议 + 域名 + 端口三者组合。

例如：你的前端运行在 http://localhost:3000，而后端API在 http://localhost:8080，虽然域名相同，但端口不同，就构成了跨域。

方法一：手动编写CORS中间件（适合学习原理）

我们可以在 Gin 中自定义一个中间件来设置响应头，允许跨域请求：

package mainimport (    "github.com/gin-gonic/gin")func Cors() gin.HandlerFunc {    return func(c *gin.Context) {        c.Writer.Header().Set("Access-Control-Allow-Origin", "*")        c.Writer.Header().Set("Access-Control-Allow-Credentials", "true")        c.Writer.Header().Set("Access-Control-Allow-Headers", "Content-Type, Content-Length, Accept-Encoding, X-CSRF-Token, Authorization, accept, origin, Cache-Control, X-Requested-With")        c.Writer.Header().Set("Access-Control-Allow-Methods", "POST, OPTIONS, GET, PUT, DELETE")        if c.Request.Method == "OPTIONS" {            c.AbortWithStatus(204)            return        }        c.Next()    }}func main() {    r := gin.Default()    r.Use(Cors()) // 注册CORS中间件    r.GET("/api/hello", func(c *gin.Context) {        c.JSON(200, gin.H{            "message": "Hello from Gin!",        })    })    r.Run(":8080")}

上面代码中，我们通过 gin.HandlerFunc 定义了一个中间件函数 Cors()，并在其中设置了必要的 CORS 响应头。特别注意对 OPTIONS 请求的处理——这是浏览器在发送实际请求前会先发送的“预检请求”，必须返回 204 状态码才能继续。

方法二：使用官方推荐的 cors 中间件（推荐生产使用）

Gin 社区有一个非常成熟的第三方库 github.com/gin-contrib/cors，它封装了所有 CORS 配置逻辑，使用更简洁、更安全。

第一步：安装依赖

go get -u github.com/gin-contrib/cors

第二步：在代码中使用

package mainimport (    "github.com/gin-gonic/gin"    "github.com/gin-contrib/cors"    "time")func main() {    r := gin.Default()    // 配置CORS    r.Use(cors.New(cors.Config{        AllowOrigins:     []string{"http://localhost:3000", "https://yourdomain.com"},        AllowMethods:     []string{"GET", "POST", "PUT", "PATCH", "DELETE", "OPTIONS"},        AllowHeaders:     []string{"Origin", "Content-Type", "Authorization"},        ExposeHeaders:    []string{"Content-Length"},        AllowCredentials: true,        MaxAge:           12 * time.Hour,    }))    r.GET("/api/data", func(c *gin.Context) {        c.JSON(200, gin.H{            "data": "This is cross-origin safe data",        })    })    r.Run(":8080")}

在这个配置中，AllowOrigins 明确指定了允许跨域的前端地址（不要在生产环境使用 *，尤其是当 AllowCredentials 为 true 时）。这样既安全又灵活。

常见问题与最佳实践

• 不要在生产环境使用 AllowOrigins: []string{"*"} + AllowCredentials: true —— 浏览器会拒绝这种不安全的组合。
• 如果前端域名不确定（如多租户系统），可动态读取 Origin 请求头并校验是否在白名单内。
• 确保 OPTIONS 请求能快速响应（204状态码），避免影响前端性能。
• 使用 Gin中间件 是处理全局CORS的最佳方式，避免在每个路由中重复写头信息。

总结

通过本文，你已经掌握了在 Golang跨域 场景下使用 Gin框架跨域处理 的两种主流方法。无论是手动实现还是使用 gin-contrib/cors，核心都是正确设置响应头并处理预检请求。记住：安全第一，明确指定允许的源，而不是盲目使用通配符。

现在，你的 Gin 后端 API 已经可以安全、高效地与任何前端应用通信了！如果你觉得这篇文章对你有帮助，欢迎分享给更多正在学习 CORS配置 的朋友。