Golang Gin框架CORS策略失效，React前端跨域请求被拦截求助

问题场景 #

部署用户间通信微服务，React前端访问GET接口 http://my-server-ip:8080/conversations?userID=1 时，浏览器控制台抛出CORS错误，Postman测试接口正常（Postman不遵循浏览器的CORS策略）。已尝试自定义CORS配置及官方cors.Default()配置，但问题未解决。

错误信息 #

Access to fetch at 'http://my-server-ip:8080/conversations?userID=1' from origin 'http://same-server-ip'（我的前端）has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource. If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled

已尝试的配置代码 #

自定义CORS配置 #

package main

import (
    "appchat/db"
    "appchat/handlers"
    "appchat/routes"

    "time"

    "github.com/gin-contrib/cors"
    "github.com/gin-gonic/gin"
)

func main() {

    r := gin.Default()
    r.Use(cors.New(cors.Config{
        AllowOrigins: []string{"*", "http://my-server-dns", "http://my-server-ip"},
        AllowMethods: []string{"GET", "POST"},
        AllowHeaders: []string{"Content-Type,access-control-allow-origin, access-control-allow-headers"},
        MaxAge:       12 * time.Hour,
    }))

    db.ConnectToMongoDB()
    defer db.CloseMongoDB()

    handlers.InitMessagesCollection(db.Client, "mensajeriaDB", "Mensajes")
    handlers.InitConversationsCollection(db.Client, "mensajeriaDB", "Conversaciones")

    routes.SetupMessageRoutes(r)
    routes.SetupConversationRoutes(r)


    r.Run(":8080") 
}

官方默认CORS配置 #

func main() {

    r := gin.Default()
    r.Use(cors.Default())

    db.ConnectToMongoDB()
    defer db.CloseMongoDB()

    handlers.InitMessagesCollection(db.Client, "mensajeriaDB", "Mensajes")
    handlers.InitConversationsCollection(db.Client, "mensajeriaDB", "Conversaciones")

    routes.SetupMessageRoutes(r)
    routes.SetupConversationRoutes(r)

    r.Run(":8080")
}

官方说明（翻译） #

官方文档指出：Default() 方法允许所有源，而 DefaultConfig() 不允许，使用 DefaultConfig() 时仍需手动设置 AllowAllOrigins 字段。

问题排查与修复方案 #

• 检查中间件加载顺序：确保CORS中间件r.Use(cors...)在所有路由注册之前执行，你的代码已满足此要求，但需确认无其他中间件覆盖响应头。
• 修复AllowHeaders格式错误：自定义配置中AllowHeaders将多个header用逗号拼接在单个字符串里，这是错误的，每个header应作为独立的字符串元素：

  AllowHeaders: []string{"Content-Type", "access-control-allow-origin", "access-control-allow-headers"},
  

• 明确指定前端Origin：虽然*允许所有源，但部分浏览器在带凭证（如Cookie）的请求下会限制该通配符。若前端请求包含凭证，建议直接指定前端完整地址（含端口，如http://same-server-ip:3000）。
• 验证响应头是否生效：通过浏览器开发者工具的Network标签，查看请求的Response Headers中是否存在Access-Control-Allow-Origin。若不存在，检查Gin版本与gin-contrib/cors是否兼容，或是否有其他代码逻辑导致中间件未执行。
• 重启服务并清除缓存：修改配置后务必重启服务，同时清除浏览器缓存，避免旧配置残留影响测试结果。

内容的提问来源于stack exchange，提问作者Manuel Gokor