本文详解 gorilla websocket 中 origin 校验失败的根本原因，指出浏览器端 javascript websocket 无法手动设置 origin 请求头的限制，并提供服务端安全、可控的 checkorigin 实现方案，避免直接返回 true 带来的安全隐患。
本文详解 gorilla websocket 中 origin 校验失败的根本原因，指出浏览器端 javascript websocket 无法手动设置 origin 请求头的限制，并提供服务端安全、可控的 checkorigin 实现方案，避免直接返回 true 带来的安全隐患。
在使用 Gorilla WebSocket 构建 Go 后端时，本地开发环境下通过 HTML5 <script> 直连 WebSocket（如 new WebSocket('ws://localhost:8080/ws')）却报错 Origin is not found Websocket version != 13，本质并非客户端“漏发 Origin”，而是浏览器禁止 JavaScript WebSocket 显式设置 Origin 请求头——该字段由浏览器自动注入，且仅反映当前页面的实际来源（即 document.origin）。当你在本地双击打开 HTML 文件（file:// 协议）或通过非同源服务器访问前端时，Origin 值可能为空、非法（如 null）或与后端 Host 不匹配，触发 Gorilla 默认的 CheckOrigin 拒绝逻辑。
Gorilla 的 Upgrader.CheckOrigin 默认行为（当设为 nil 时）会严格比对请求中的 Origin 头与 Host 头是否一致（详见 源码 L61–72），这是出于安全考虑的合理默认——防止恶意网站滥用你的 WebSocket 接口。但该策略不适用于开发调试场景（如本地 file:// 页面、Vite/HMR 代理、或跨域测试环境）。
✅ 正确做法：实现可配置、可审计的 Origin 校验逻辑，而非无条件放行
以下是一个生产就绪的 CheckOrigin 示例，支持白名单、本地开发豁免及协议容错：
import (
"net/http"
"strings"
)
var wsUpgrader = websocket.Upgrader{
ReadBufferSize: 1024,
WriteBufferSize: 1024,
CheckOrigin: func(r *http.Request) bool {
// 允许明确声明的可信来源（生产环境填写真实域名）
allowedOrigins := []string{
"https://myapp.com",
"https://staging.myapp.com",
"http://localhost:3000", // 开发前端端口
"http://127.0.0.1:3000",
}
origin := r.Header.Get("Origin")
if origin == "" {
// 浏览器在 file:// 协议下发送空 Origin，可选择性允许（仅限开发！）
return isDevelopmentMode() // 自定义函数，例如读取环境变量
}
// 严格校验：Origin 必须在白名单中
for _, allowed := range allowedOrigins {
if strings.EqualFold(origin, allowed) {
return true
}
}
// 可选：支持带端口的 Host 匹配（如 Origin: http://localhost:3000 → Host: localhost:8080）
host := r.Host
if strings.Contains(host, ":") {
host = strings.Split(host, ":")[0]
}
if strings.HasPrefix(origin, "http://"+host+":") || strings.HasPrefix(origin, "https://"+host+":") {
return true
}
return false
},
}
func isDevelopmentMode() bool {
return os.Getenv("ENV") == "development"
}⚠️ 重要注意事项：
- *永远不要在生产环境将 CheckOrigin 设为 `func(r http.Request) bool { return true }`** —— 这等同于关闭跨域防护，使任意网站均可建立连接并发起恶意消息。
- websocket.Upgrade(w, r, nil, 1024, 1024) 是 Gorilla 提供的便捷工厂函数，其内部确实将 CheckOrigin 强制设为 true，仅推荐用于单元测试或完全隔离的内网调试环境，切勿用于任何可被公网访问的服务。
- 若需支持 file:// 协议调试，建议改用 http-server 或 live-server 启动本地 HTTP 服务（如 npx http-server -p 3000），使 Origin 变为 http://localhost:3000，再加入白名单，比接受空 Origin 更安全。
- 前端无需（也无法）手动添加 Origin 头；确保 WebSocket 构造函数 URL 协议/主机/端口与预期来源一致即可。
总结：Origin 校验是 WebSocket 安全的第一道防线。通过精细化控制 CheckOrigin 函数，你既能满足本地开发灵活性，又能保障生产环境安全性——关键在于明确信任边界，拒绝模糊放行。
