本文介绍在 Gin 框架中通过官方 cors 中间件为 r.Static() 提供的静态资源统一添加 HTTP 响应头（如 Access-Control-Allow-Origin），从而安全启用跨域访问。
本文介绍在 Gin 框架中通过官方 cors 中间件为 `r.Static()` 提供的静态资源统一添加 HTTP 响应头（如 `Access-Control-Allow-Origin`），从而安全启用跨域访问。
在使用 Gin 框架提供静态文件服务（例如通过 r.Static("files", "./files")）时，Gin 默认不会为这些静态响应自动注入自定义 HTTP 头（如 CORS 相关头）。但实际开发中，前端应用常需跨域加载这些资源（如图片、字体、JSON 配置等），此时必须显式配置响应头以满足浏览器同源策略要求。
Gin 官方生态提供了成熟、轻量且符合规范的中间件 —— gin-contrib/cors，它专用于处理跨域请求，支持精细控制 Origin、Methods、Headers、Credentials 和缓存时长等关键字段，并自动将 CORS 头应用于所有路由响应，包括 Static 路由所返回的静态文件。
以下是一个生产就绪的配置示例：
package main
import (
"github.com/gin-gonic/gin"
"github.com/gin-contrib/cors"
)
func main() {
router := gin.Default()
// 配置 CORS 中间件（推荐使用 DefaultConfig 并按需覆盖）
config := cors.DefaultConfig()
config.AllowOrigins = []string{"https://your-frontend.com", "http://localhost:3000"}
config.AllowMethods = []string{"GET", "HEAD", "OPTIONS"} // 静态资源通常只需 GET/HEAD
config.AllowHeaders = []string{"Content-Type", "Authorization"}
config.ExposeHeaders = []string{"Content-Length"} // 可选：暴露给前端的响应头
config.AllowCredentials = true // 若需携带 Cookie，请确保前端也配置 withCredentials
// 全局启用 CORS 中间件（作用于所有路由，含 Static）
router.Use(cors.New(config))
// 提供静态文件服务（/files/* 将自动携带 CORS 头）
router.Static("/files", "./files")
// 可选：添加健康检查或其它 API 路由
router.GET("/ping", func(c *gin.Context) {
c.String(200, "pong")
})
router.Run(":8080")
}✅ 关键说明：
-
router.Use(cors.New(config))是全局中间件，会拦截所有请求（包括Static路由匹配的文件请求），并在响应中写入对应 CORS 头； - 不需要为静态路由单独封装 handler 或手动调用
c.Header()—— 中间件已覆盖全部响应流程； - 若仅需简单允许所有来源（仅限开发环境），可直接使用
router.Use(cors.Default())，但生产环境务必显式指定AllowOrigins，避免安全风险； - 对于
OPTIONS预检请求，该中间件会自动响应，无需额外路由定义。
⚠️ 注意事项：
- 确保
cors.New(config)在router.Static(...)之前调用，否则中间件不生效； - 若静态文件需支持
Authorization或自定义请求头，请在AllowHeaders中显式声明； - 使用
AllowCredentials: true时，AllowOrigins*不可为 ``**，必须指定具体域名列表； - 静态文件的
Content-Type由 Gin 自动推断（基于文件扩展名），CORS 中间件不影响此行为。
通过上述方式，你既能保持静态文件服务的简洁高效，又能安全、灵活地控制跨域策略，是 Gin 项目中服务前端资源的标准实践。
