CORS 预检神秘地因大猩猩/处理程序而失败答案

【问题标题】：CORS preflight mysteriously failing with gorilla/handlersCORS 预检神秘地因大猩猩/处理程序而失败
【发布时间】：2021-12-29 20:11:47
【问题描述】：

我正在通过 Heroku 为我的应用程序发布一个 Golang API。无法让我的 webapp（Flutter/Dart 堆栈）真正从我的 api 获得成功的响应。但是我 am 能够使用本地的 curl 命令获得成功的响应。我已经阅读了几篇关于更改 Go mux 服务器和添加正确标头的帖子，但这对我不起作用。我什至看到在我的 curl 请求期间返回了这些标头。真的可以使用一些帮助，因为这会减慢我的速度。

基本上这是我创建服务器的主要类

import (
    "api/preventative_care"
    "api/user"
    "github.com/gorilla/handlers"
    "github.com/gorilla/mux"
    "log"
    "net/http"
    "os"
)

func main() {
    log.SetFlags(log.LstdFlags | log.Llongfile)
    router := mux.NewRouter()

    // Where ORIGIN_ALLOWED is like `scheme://dns[:port]`, or `*` (insecure)

    headersOk := handlers.AllowedHeaders([]string{"*"})
    methodsOk := handlers.AllowedMethods([]string{"GET", "HEAD", "POST", "PUT", "OPTIONS"})
    originsOk := handlers.AllowedOrigins([]string{"*"})

    router.HandleFunc("/", func(writer http.ResponseWriter, request *http.Request) {
        log.Println("Up and running!")
    })
    router.HandleFunc("/api/login", user.LoginHandler).Methods("GET")
    router.HandleFunc("/api/recommendations", preventative_care.RecommendationHandler).Methods("GET")

    var port = os.Getenv("PORT")
    log.Printf("Starting application on port %s\n", port)

    //log.Fatal(http.ListenAndServe(fmt.Sprintf(":%s", port), router))
    log.Fatal(http.ListenAndServe(":" + os.Getenv("PORT"), handlers.CORS(originsOk, headersOk, methodsOk)(router)))

}

调用此 API 的 dart 代码如下所示：

    Map<String, String> headers = {
      "content-type": "application/json",
      "username": username,
      "password": password
    };

    final response = await http.get(Uri.parse(uri), headers: headers);

我在 2 个独立的 Heroku Dynos 中同时托管 webapp 和 API。当我使用 curl 从本地访问 API 时，我看到如下：

$ > curl -iXGET https://my-app-api.herokuapp.com/api/login -H "username:hello" -H "password:pizza"

HTTP/1.1 200 OK
Server: Cowboy
Connection: keep-alive
Content-Type: application/json
Date: Thu, 18 Nov 2021 23:39:56 GMT
Content-Length: 160
Via: 1.1 vegur

我以为我应该看到那里添加了标题Access-Control-Allow-Origin: *，但我还没有获得 200 成功。但是，当我尝试使用我的 Webapp 从使用 Google Chrome 的登录屏幕点击 API 时，我看到了这个错误：

CORS 政策已阻止从源“https://my-app-staging.herokuapp.com”访问“https://my-app-api.herokuapp.com/api/login”处的 XMLHttpRequest：对预检请求的响应未通过访问控制检查：请求的资源上不存在“Access-Control-Allow-Origin”标头。

不知道 - 好像是 Chrome 正在删除标题或其他什么？

编辑：我也尝试使用 CURL 发送预检请求，我看到了正确的标头 - 但是它仍然显示 4XX 错误。

$ > curl -H "Access-Control-Request-Method: GET" -H "Origin: https://my-app-staging.herokuapp.com" --head https://my-app-api.herokuapp.com/api/login

HTTP/1.1 405 Method Not Allowed
Server: Cowboy
Connection: keep-alive
Access-Control-Allow-Origin: *
Date: Fri, 19 Nov 2021 00:51:52 GMT
Via: 1.1 vegur

所以现在我真的不确定

【问题讨论】：

标签： go cors http-headers wildcard gorilla

【解决方案1】：

TL;DR

gorilla/handlers 不（还？）支持Access-Control-Allow-Headers 的通配符。您必须明确指定所有允许的标头。在你的情况下，而不是

handlers.AllowedHeaders([]string{"*"})

你应该有

handlers.AllowedHeaders([]string{"content-type", "username", "password"})

TL;DR

更多详情