Golang Gorilla CORS处理POST请求致Linux内存耗尽求助

我开发的原生Go程序导致Linux系统内存耗尽，且请求未触发任何处理器。当前使用Gorilla CORS处理器，配置如下：

credentialsOk := gh.AllowCredentials()
headersOk := gh.AllowedHeaders([]string{"X-Requested-With", "Content-Type"})
methodsOk := gh.AllowedMethods([]string{"GET", "HEAD", "POST", "PUT", "OPTIONS"})
originsOk := gh.AllowedOrigins([]string{"localhost", "192.168.1.142", ".universalcharts.com", ".ihids.com"})
log.Fatal(http.ListenAndServe(":"+ep.Port, gh.CORS(originsOk, headersOk, methodsOk, credentialsOk)(router)))

当网站访问服务器或执行curl命令：

curl -X POST -F 'userName=user@example.com' -F 'password=password'  http://localhost:30100/api/rest/v1/auth/authorize

请求会挂起直至系统因内存不足崩溃，使用通配符Origin也会触发该问题。

1. 强制读取请求体 #

内存耗尽的核心原因大概率是未正确处理multipart/form-data请求体，导致Go HTTP服务器持续持有请求数据堆积占用内存。必须在处理器中显式解析请求体：

func authorizeHandler(w http.ResponseWriter, r *http.Request) {
    // 解析multipart请求，设置合理的内存上限（示例为10MB）
    err := r.ParseMultipartForm(10 << 20)
    if err != nil {
        http.Error(w, err.Error(), http.StatusBadRequest)
        return
    }
    // 后续业务逻辑...
}

即使不需要使用请求体字段，也必须调用ParseMultipartForm或ParseForm，否则请求数据会一直驻留内存。

2. 校验中间件执行顺序 #

确保Gorilla CORS中间件是最外层的包装，先于路由匹配执行，避免请求在进入处理器前被阻塞：

// 正确顺序：先路由，再用CORS中间件包裹
handler := gh.CORS(originsOk, headersOk, methodsOk, credentialsOk)(router)
log.Fatal(http.ListenAndServe(":"+ep.Port, handler))

3. 用pprof定位内存泄漏 #

启用Go运行时分析工具，精准定位内存占用点：

• 在程序中添加pprof监听：

import _ "net/http/pprof"

func main() {
    go func() {
        _ = http.ListenAndServe("localhost:6060", nil)
    }()
    // 原有启动逻辑...
}

• 触发请求后，执行命令获取内存快照：

go tool pprof http://localhost:6060/debug/pprof/heap

在pprof交互界面输入top查看内存占用最高的函数，锁定泄漏源。

4. 限制请求体大小 #

在服务器层面添加请求体大小限制，防止大请求直接耗尽内存：

// 先包装请求体大小限制，再包裹CORS中间件
sizeLimitedHandler := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
    r.Body = http.MaxBytesReader(w, r.Body, 10<<20) // 限制为10MB
    router.ServeHTTP(w, r)
})
finalHandler := gh.CORS(originsOk, headersOk, methodsOk, credentialsOk)(sizeLimitedHandler)
log.Fatal(http.ListenAndServe(":"+ep.Port, finalHandler))

5. 更新Gorilla CORS版本 #

旧版本可能存在内存泄漏bug，升级到最新版：

go get github.com/gorilla/cors@latest
go mod tidy

内容的提问来源于stack exchange，提问作者Donald French