Buffalo 的 CORS 中间件对 API 和 WebSocket 无效，需在路由前显式设置 header、校验 Origin 并配置 CDN 缓存策略。
Buffalo 的 CORS 中间件不生效？先确认你没用错位置
Buffalo 自带的 middleware.CORS 默认只对 HTML 渲染路径（如 /、/assets/）起作用，**对 JSON API 或 WebSocket 路由完全无效**。这是因为它的底层逻辑依赖于 buffalo.Context 的渲染流程，而 c.Render() 调用前才注入 header。纯 API handler（比如 app.GET("/api/users", UsersList)）若直接 c.JSON(200, data)，CORS header 就不会写入响应。
实操建议：
- 删掉全局注册的
app.Use(middleware.CORS)，它在 API 场景下是幻觉 - 改用显式中间件，在路由注册前插入：
app.Use(func(c buffalo.Context) error { c.Response().Header().Set("Access-Control-Allow-Origin", "https://your-frontend.com") c.Response().Header().Set("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS") c.Response().Header().Set("Access-Control-Allow-Headers", "Content-Type,Authorization") if c.Request().Method == "OPTIONS" { return c.Render(200, nil) } return nil }) - 必须把这段代码放在
app.GET等路由注册语句之前，否则中间件链不触发
OPTIONS 预检失败？检查是否漏了 Allow-Credentials 和 Vary
前端若带 credentials: true（比如发 cookie），后端必须同时设置 Access-Control-Allow-Credentials: true，且 Access-Control-Allow-Origin **不能是通配符 *** —— 否则浏览器直接拒绝响应。另外，某些 CDN（如 Cloudflare）会缓存预检响应，若没加 Vary: Origin，不同源请求可能拿到错误的缓存结果。
实操建议：
- Origin 必须白名单校验，禁止硬写
"*"：origin := c.Request().Header.Get("Origin")，再比对预设域名列表 - 显式写入
Vary：c.Response().Header().Set("Vary", "Origin") - 如果允许凭据，header 顺序不能错：先设
Allow-Origin，再设Allow-Credentials，否则部分旧版 Chrome 会忽略
WebSocket 跨域被拦截？别靠中间件，Upgrade 前就得处理
gorilla/websocket 的 Upgrader.Upgrade() 是独立 HTTP 处理流程，**完全绕过 Buffalo 的中间件链**。你在 app.Use() 里写的任何 CORS header，对 /ws 路由都无效。连接建立阶段的跨域控制，全靠 Upgrader.CheckOrigin 回调和响应 header 的时机。
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
实操建议：
-
CheckOrigin必须手动实现，例如：upgrader.CheckOrigin = func(r *http.Request) bool { origin := r.Header.Get("Origin") return origin == "https://your-frontend.com" || origin == "http://localhost:3000" } - Upgrade 前必须确保 response writer 还没 flush，所以不要在 handler 里提前调
c.Response().WriteHeader()或c.Render() - 某些反向代理（如 Nginx）会静默丢弃 Upgrade 请求中的自定义 header，务必在 proxy_pass 配置里显式透传：
proxy_set_header Upgrade $http_upgrade;和proxy_set_header Connection "upgrade";
生产环境 CDN 缓存导致 CORS 错乱？关键字段要动态生成
Cloudflare 或 Akamai 类 CDN 默认缓存所有 200 响应，包括 OPTIONS 预检结果。如果你的 Allow-Origin 是静态字符串，多个前端域名共用一个缓存 key，就会互相污染。更隐蔽的问题是：Buffalo 的 middleware.CORS 默认不设 Vary: Origin，CDN 根本不知道该按 Origin 分 Key 缓存。
实操建议：
- 禁用 CDN 对 OPTIONS 请求的缓存：
Cache-Control: no-store必须在预检响应中显式设置 - 所有跨域 header（尤其是
Allow-Origin）必须从r.Header.Get("Origin")动态读取并回写，不能写死 - 如果使用 Cloudflare，额外配置 Page Rule：对
*/ws*和*.json路径关闭缓存，避免 Upgrade 和 API 响应被误缓存
跨域配置真正难的不是写几行 header，而是得清楚每个环节（Buffalo 中间件链、net/http handler、gorilla/websocket Upgrade、CDN 缓存策略）各自管哪一段，以及它们之间谁根本看不见谁。漏掉任意一层，问题就出在你看不见的地方。
