gin-contrib/cors中间件必须显式启用AllowCredentials且禁用通配符Origin：当AllowCredentials为true时，AllowedOrigins只能是具体URL切片（如["https://a.com", "https://b.net:8080"]），不可含"*"，否则浏览器静默丢弃响应；生产环境须动态校验Origin全量匹配（协议+域名+端口），并确保返回Vary: Origin头以防缓存污染。
gin-contrib/cors 中间件必须显式启用 AllowCredentials 且禁用通配符 Origin
当你需要前端携带 Cookie 或 Authorization 头访问多个域名时，Access-Control-Allow-Credentials: "true" 必须设为字符串 "true"，且此时 AllowedOrigins 不能包含 "*"——浏览器会直接丢弃响应，连控制台错误都不报，只卡在 pending 状态。
正确做法是：开发环境用白名单数组硬编码；生产环境必须动态比对 r.Header.Get("Origin") 和预设域名列表（注意协议+端口要完全一致，https://a.com ≠ https://a.com/）。
-
AllowCredentials: true时，AllowedOrigins只能是具体 URL 字符串切片，如[]string{"https://a.com", "https://b.net:8080"} - 子域名通配（如
"*.example.com"）不被标准 CORS 支持，得自己用strings.HasSuffix或正则判断 - 中间件配置里漏掉
Vary: Origin头，CDN 或代理可能缓存错误的Access-Control-Allow-Origin值
OPTIONS 预检请求必须由网关层拦截，不能透传到业务 handler
浏览器对非简单请求（如 Content-Type: application/json、自定义 header、POST 以外方法）必先发 OPTIONS。如果 gin 路由没注册该路径，或中间件没提前处理，就会返回 404 或 405，前端只看到 “CORS error”，根本看不到真实错误。
gin-contrib/cors 默认拦截 OPTIONS 并返回 204 No Content，但要注意：
立即学习“go语言免费学习笔记（深入）”；
- 别在多个中间件里重复挂载 CORS（比如又用
gin-contrib/cors，又手写一个），会导致响应头写两次，触发ERR_INVALID_HTTP_RESPONSE - 若你用的是
rs/cors，它默认不拦截OPTIONS，必须显式设OptionsPassthrough: false - 手写中间件时，
r.Method == "OPTIONS"分支里必须调w.WriteHeader(http.StatusNoContent)后立刻return，不能继续执行c.Next()
Go 版本低于 1.18 会导致 cors 中间件行为异常
go version 输出必须是 go1.18 或更高。低于这个版本，go mod 的默认行为、泛型支持都可能影响依赖解析，导致 gin-contrib/cors 编译失败或运行时 panic。
常见误判是 PATH 混乱：比如同时存在 /usr/local/go/bin/go 和 ~/sdk/go1.20.5/bin/go。查清路径后，优先使用官方压缩包解压到 /usr/local/go（macOS/Linux）或 C:\Go（Windows），然后只把对应 bin 目录加入 PATH。
- 运行
go version是第一排查动作，不是一上来就重装 Go - 若提示
command not found，用which go（macOS/Linux）或where go（Windows）定位实际调用的二进制 - 交叉编译或 CI 环境中容易忽略
GOOS/GOARCH对gin-contrib/cors内部逻辑的影响，建议统一用官方 Docker 镜像构建
动态 Origin 校验必须完整匹配协议、域名、端口
很多线上问题出在只比对域名，忽略协议和端口。比如前端从 http://localhost:3000 发请求，后端却只校验 "localhost"，结果 Origin 是 "http://localhost:3000"，比对失败，响应头没写，跨域就崩了。
推荐校验方式：
- 用
url.Parse(origin)提取Scheme、Host（含端口），再与白名单逐项比对 - 白名单里存完整 URL 字符串，而不是只存域名，避免歧义
- 调试时加一行日志：
log.Printf("CORS origin check: %q in %v → %t", origin, allowedOrigins, matched)，上线前删掉
最易被忽略的是：开发时用 localhost，上线后变成 https://app.example.com，但白名单忘了加 HTTPS，或者漏了 CDN 端口映射（如 443 被转成 8443），Origin 就对不上。
