1. 了解移动端 Golang 应用中的 CORS 需求
为何移动端需要处理 CORS
在移动端应用架构中，前端组件（例如 WebView、原生容器中的网页模块、混合应用等）常通过网络请求访问后端 API。跨域请求的限制会在某些环境下阻止跨源访问，影响移动端的数据交互与体验。
服务器端开启 CORS 可以让移动端在受控范围内安全地访问资源，同时避免浏览器端的同源策略成为瓶颈。对于原生应用中的 WebView 或跨域网关，正确的 CORS 配置同样关键。
CORS 的基本概念与关键头部
Access-Control-Allow-Origin 指定允许访问的源，若设置为“*”则表示所有来源都可访问，但在带凭证的请求场景下不能使用。
Access-Control-Allow-Methods 指定允许的请求方法集合，如 GET、POST、PUT、DELETE、OPTIONS。移动端常用的场景需要明确这些方法。
2. 在 Golang 服务端实现 CORS 的核心原理
Origin、Access-Control-Allow-* 头部解读
浏览器在发起跨源请求前，可能先发送一个预检请求（OPTIONS），以确认服务器是否允许该实际请求。
服务端需要在响应中设置正确的 Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers、Access-Control-Allow-Credentials 等头部，以实现跨域资源共享的可控性。
跨域请求的实际流程（简单示意）
简单请求直接带上必要头部即可跨域，但带有自定义头部、或使用凭证（如 cookies、Authorization）时，则会先触发预检请求。
在 Golang 服务端，我们需要根据请求的 Origin 做资源级别的鉴权与头部响应，以确保实际请求能够顺利完成并且符合安全策略。
3. 实战：在 Go 中配置 CORS 中间件
使用标准库实现 CORS 基础示例
通过标准 net/http 可以快速理解 CORS 的工作方式，并在不依赖第三方包的情况下实现最基本的跨域支持。
下面的示例展示了如何在处理函数中动态设置头部、处理 OPTIONS 预检请求，以及返回实际数据，帮助理解移动端应用的跨域交互流程。
package mainimport ("net/http"
)func main() {http.HandleFunc("/api", func(w http.ResponseWriter, r *http.Request) {origin := r.Header.Get("Origin")if origin != "" {w.Header().Set("Access-Control-Allow-Origin", origin)w.Header().Set("Vary", "Origin")w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")w.Header().Set("Access-Control-Allow-Credentials", "true")}if r.Method == http.MethodOptions {w.WriteHeader(http.StatusOK)return}// 真实处理逻辑w.Write([]byte(`{"status":"ok"}`))})http.ListenAndServe(":8080", nil)
}
使用流行中间件（如 gin-contrib/cors 或 chi middleware）实现
许多 Golang 框架提供了成熟的 CORS 中间件，可以简化配置、提升可维护性，并覆盖更多边界场景。
在 Gin 框架中，使用 gin-contrib/cors 可以方便地定义允许来源、方法、头部等策略，从而避免重复实现和潜在错误。
// Gin + gin-contrib/cors 示例
import ("github.com/gin-gonic/gin""github.com/gin-contrib/cors""time"
)func main() {r := gin.Default()r.Use(cors.New(cors.Config{AllowOrigins: []string{"https://example.com", "https://app.example.com"},AllowMethods: []string{"GET", "POST", "PUT", "DELETE", "OPTIONS"},AllowHeaders: []string{"Origin", "Content-Type", "Authorization"},ExposeHeaders: []string{"Content-Length"},AllowCredentials: true,MaxAge: 12 * time.Hour,}))r.GET("/api", func(c *gin.Context) {c.JSON(200, gin.H{"status":"ok"})})r.Run(":8080")
}
4. 最佳实践与安全要点
选择合适的 Allow-Origin 策略
在移动端场景中，尽量避免使用通配符“*”，尤其是在需要带凭证的请求中。应将来源限定为具体的移动应用域名、统一域名集合，或通过动态 Origin 匹配实现受控开放。
将授权域限定在可信来源，有助于降低跨域被滥用的风险，并提升对移动端应用的安全防护。
处理预检请求（OPTIONS）与缓存
预检请求是跨域交互中的关键点，正确处理能降低后续请求的延迟并避免误判。
通过设置 Access-Control-Max-Age，可以让浏览器缓存预检结果，减少重复的 OPTIONS 请求，提升移动端的响应速度与用户体验。
与移动端鉴权结合的注意事项
移动端常见的鉴权方式包括 Bearer Token、JWT 等，CORS 配置需要确保可以共用 Authorization 头部。
当请求包含凭证时，Access-Control-Allow-Credentials 必须为 true，且 Access-Control-Allow-Origin 不能设为“*”，否则浏览器会拒绝跨域访问。
5. 测试、排错与性能优化
如何测试 CORS 设置
可以通过浏览器开发者工具、curl、Postman 等工具验证跨域头部是否正确返回，并检查预检请求的响应。
测试要点包括：Origin 匹配、Allow-Methods、Allow-Headers、Credentials 等是否符合预期，以及在不同设备上实际请求的行为。
常见问题排查清单
排错时要核对 Origin 是否被正确识别、响应头是否完整、以及中间件/网关是否覆盖了相关头部。
网络抓包和代理层的头部改写也可能影响跨域结果，应逐步排查来源与目标域名的一致性，以及中间层缓存是否造成过期的头部仍在返回。
