Flutter Web对接本地Go HTTP服务API报XMLHTTPError的解决方案

• 你当前遇到的XMLHTTPError是浏览器跨域安全机制拦截导致的，和HTTPS、顾客端浏览器配置完全无关：
  • 浏览器的跨域规则强制要求服务端在响应中返回指定的CORS头才会放行Web页面发起的请求，你在Dart客户端代码里塞的所有Access-Control-*头会被浏览器直接忽略，完全起不到跨域放行的作用。
  • 之前移动端版本能正常调用接口，是因为Flutter移动端的网络请求是原生客户端发起的，不走浏览器的跨域安全策略，所以之前的简单配置完全可用；Web版的JS请求运行在浏览器沙箱里，才会触发跨域拦截。
  • 当你在客户端请求里手动加上CORS相关头时，会触发浏览器的跨域预检流程，浏览器会先发送一个OPTIONS方法的预请求确认服务端权限；你现有的Go服务只注册了GET方法的/api/getgarcon路由，根本没处理OPTIONS请求，直接返回405方法不允许，因此抛出XMLHTTPError。
  • 直接在浏览器地址栏访问接口能正常返回，是因为地址栏导航属于浏览器顶层请求，不触发跨域检查，和Web端JS发起的请求机制完全不同。

不需要切换HTTPS，不需要修改顾客端的浏览器配置，只需要修改两处代码，10分钟就能完成适配：

1. 清理Dart端冗余的CORS请求头
   把getGarcon方法里headers的多余配置删掉，只保留移动端时期的原有配置即可：

   data = await http.get(
     glbHttpServer + "api/getgarcon",
     headers: {'Content-Type': 'application/json'},
   );
   

   所有跨域权限校验的逻辑统一放到服务端处理，避免触发不必要的严格预检规则。
2. 给Go服务增加全局CORS中间件
   基于你现有的gorilla/mux路由，直接添加一个全局中间件，统一返回跨域响应头、处理OPTIONS预检请求，不需要修改现有业务接口的任何逻辑：

   // 全局跨域中间件
   func corsMiddleware(next http.Handler) http.Handler {
       return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
           // 服务端返回跨域放行响应头
           w.Header().Set("Access-Control-Allow-Origin", "*")
           w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, PATCH, DELETE, OPTIONS")
           w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization, X-Requested-With")
           // 直接返回200放行所有OPTIONS预检请求
           if r.Method == http.MethodOptions {
               w.WriteHeader(http.StatusOK)
               return
           }
           next.ServeHTTP(w, r)
       })
   }
   
   func main() {
       r := mux.NewRouter()
       // 全局挂载跨域中间件
       r.Use(corsMiddleware)
       r.HandleFunc("/api/getgarcon", get_garcon).Methods("GET")
       // 移除原来冗余的http.Handle注册逻辑，直接将路由作为监听入口
       log.Fatal(http.ListenAndServe(":8000", r))
   }
   

   改完重启Go服务，不需要做其他配置，Web端的接口请求就能正常通。

针对餐厅本地局域网点餐的场景，Flutter Web的成熟度完全满足业务需求，投入适配的性价比非常高：

• 你已经有现成的Flutter移动端业务代码，Web版可以直接复用80%以上的业务逻辑、UI组件，不需要从零搭建一套独立的Web前端，开发成本极低。
• 当前Flutter Web对主流移动端浏览器（Chrome、Safari、微信内置浏览器）的兼容性已经覆盖95%以上的日常交互场景，扫码点餐、页面跳转、表单提交这类核心功能没有明显的兼容问题，不需要投入大量精力处理跨浏览器适配。
• 不需要强行切换HTTPS：纯本地局域网场景下没有公网证书的强制要求，HTTP环境通过上述CORS中间件就能解决跨域问题；上HTTPS反而需要额外配置本地证书、处理客户端的证书信任问题，平白增加部署复杂度，只有后续要把服务迁移到公网时再切换即可。

内容的提问来源于stack exchange，提问作者CMorgado