Revel应用默认不处理跨域，必须显式配置CORS中间件或Nginx代理；常见错误包括OPTIONS返回404、Access-Control-Allow-Origin与Credentials冲突；推荐开发用前端代理、上线用Nginx统一处理。
Revel 应用默认不处理跨域，必须显式配置中间件
Revel 自带的 HTTP 服务器（基于 net/http）完全不内置 CORS 支持。你看到的 Access-Control-Allow-Origin 缺失错误，不是框架“忘了加”，而是它压根没这层逻辑——和 Spring Boot 的 @CrossOrigin 或 Express 的 cors() 中间件不同，Revel 要求你手动注入。
常见错误现象：前端发请求能进后端日志，但浏览器控制台报 No 'Access-Control-Allow-Origin' header is present；或者预检 OPTIONS 请求直接返回 404 —— 因为 Revel 默认不注册任何 OPTIONS 路由。
- 最简方案：在
app/init.go的init()函数里，用revel.Intercept注册一个全局 CORS 中间件 - 不要依赖第三方包（如
rs/cors），Revel 的拦截器模型足够轻量，一行w.Header().Set()就能覆盖大部分场景 - 若需支持凭证（
withCredentials: true），必须指定具体域名，不能用*，且要额外设置Access-Control-Allow-Credentials: true
如何写一个兼容简单请求和预检请求的 CORS 中间件
Revel 的拦截器执行时机早于控制器，适合统一注入响应头；但预检请求需要被路由系统捕获并返回空响应，否则会落到 404。关键点在于：既要设头，又要让 OPTIONS 请求不进业务逻辑。
示例代码（放在 app/init.go）：
func addCORSFilter(c *revel.Controller) revel.Result {
w := c.Response.Out
w.Header().Set("Access-Control-Allow-Origin", "http://localhost:5173")
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
w.Header().Set("Access-Control-Allow-Credentials", "true")
w.Header().Set("Access-Control-Max-Age", "3600")
<pre class="brush:php;toolbar:false;">// 拦截 OPTIONS 预检请求，直接返回 200，不执行后续控制器
if c.Request.Method == "OPTIONS" {
return nil // Revel 会终止流程并写出响应头
}
return nil}
func init() { revel.Intercept(addCORSFilter, revel.BEFORE) }
-
revel.BEFORE表示在控制器执行前触发，确保所有响应都带头 - 返回
nil表示“继续”，但对 OPTIONS 方法主动返回nil时，Revel 不会调用控制器，等效于“短路” - 注意
Access-Control-Allow-Origin和Access-Control-Allow-Credentials必须同时满足：前者不能是*，后者必须为true，否则浏览器仍拒绝响应
生产环境别在 Revel 层做 CORS，改用 Nginx 反向代理
开发阶段用中间件够快，但上线后应把 CORS 移到 Nginx。原因很实际：Revel 的 Go HTTP 服务不适合暴露公网，而 Nginx 处理预检、缓存、限速更稳，也避免 Go 进程重复解析跨域逻辑。
典型 Nginx 配置片段（/etc/nginx/sites-available/myapp）：
location / {
proxy_pass http://127.0.0.1:8089;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
<pre class="brush:php;toolbar:false;"># CORS headers
add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type,Authorization' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Max-Age' 3600 always;
# Handle preflight OPTIONS
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com';
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE';
add_header 'Access-Control-Allow-Headers' 'Content-Type,Authorization';
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Max-Age' 3600;
add_header 'Content-Length' 0;
add_header 'Content-Type' 'text/plain; charset=utf-8';
return 204;
}}
-
always参数确保即使后端响应 4xx/5xx，CORS 头依然生效（Revel 中间件做不到这点） -
if ($request_method = 'OPTIONS')是 Nginx 唯一安全处理预检的方式，add_header在 if 块内必须重复声明 - 务必确认 Revel 应用只监听
127.0.0.1:8089（通过-addr 127.0.0.1 -p 8089或conf/app.conf中http.addr = "127.0.0.1"），否则 Nginx 代理形同虚设
为什么本地开发时用代理比配 CORS 更省事
Vue/Vite/React 开发服务器自带代理能力，比如 Vite 的 vite.config.ts：
export default defineConfig({
server: {
proxy: {
'/api': {
target: 'http://localhost:9000',
changeOrigin: true,
rewrite: (path) => path.replace(/^\/api/, '')
}
}
}
})
这样前端请求 /api/users 会被代理到 http://localhost:9000/users，协议、域名、端口全一致，根本绕过跨域检查。比在 Revel 里反复调中间件、清浏览器缓存、重启服务快得多。
- 该方式只适用于开发环境，
npm run build后静态资源部署时，必须切回 Nginx 代理或后端 CORS 方案 - Revel 的
9000端口默认监听0.0.0.0，若你用代理，建议启动时加-addr 127.0.0.1，避免本地网络其他设备意外访问到你的开发服务 - 如果代理后仍报跨域，大概率是前端代码里写了绝对 URL（如
fetch("http://localhost:9000/api/...")），必须改成相对路径fetch("/api/...")
Revel 的跨域处理本质是权衡点：开发期图快就用前端代理；测试期验证逻辑就写中间件；上线后必须交棒给 Nginx——因为 Go HTTP 服务器不处理 TLS、不缓存静态资源、不抗慢连接，这些都不是加几个 header 能补上的。
