multiple CORS values being rejected in Go gin api

In my Go API, I'm using gin, and I have one value set in my Access-Control-Allow-Origin header. If I have more than one, my react UI throws an error to the effect of The Access-Control-Allow-Origin header contains multiple values 'http://value1, http://value2', but only one is allowed.... I need to set multiple values. How do I do this?

The API is a reverse proxy, and here's the relevant code:

func proxy(c *gin.Context) {
  var remote = "myUrl"
  proxy := httputil.NewSingleHostReverseProxy(remote)
  proxy.Director = func(req *http.Request) {
		req.Header.Set("Authorization", "My Auth Values")
		req.Host = remote.Host
		req.URL.Scheme = remote.Scheme
		req.URL.Host = remote.Host
	}
	proxy.ModifyResponse = addCustomHeader
	proxy.ServeHTTP(c.Writer, c.Request)
}

func addCustomHeader(r *http.Response) error {
	r.Header["Access-Control-Allow-Origin"] = []string{"value1"}
	return nil
}

</details>


# 答案1
**得分**: 2

CORS头部只能包含一个值。如果你想要实现自己的CORS中间件，你需要绕过这个限制。

一个简单的CORS中间件会添加`Access-Control-Allow-Origin`头部，其值为传入请求的特定地址，通常从`Referer`或`Origin`头部获取。通常，你会先将这个地址与一个列表或映射进行匹配，以查看它是否在你的"允许列表"中。如果是的话，请求的地址就会被添加为允许的来源（作为一个单独的值）。

一个简单的示例可能如下所示：

```go
allowList := map[string]bool{
	"https://www.google.com": true,
	"https://www.yahoo.com":  true,
}

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
	if origin := r.Header.Get("Origin"); allowList[origin] {
		w.Header().Set("Access-Control-Allow-Origin", origin)
	}
})

由于你正在使用反向代理，你可以从响应中访问请求。

mod := func(allowList map[string]bool) func(r *http.Response) error {
	return func(r *http.Response) error {
		if origin := r.Request.Header.Get("Origin"); allowList[origin] {
			r.Header.Set("Access-Control-Allow-Origin", origin)
		}
		return nil
	}
}

proxy := &httputil.ReverseProxy{
	Director: func(r *http.Request) {
		r.URL.Scheme = "https"
		r.URL.Host = "go.dev"
		r.Host = r.URL.Host
	},
	ModifyResponse: mod(allowList),
}

allowList := map[string]bool{
	"https://www.google.com": true,
	"https://www.yahoo.com":  true,
}

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
	if origin := r.Header.Get("Origin"); allowList[origin] {
		w.Header().Set("Access-Control-Allow-Origin", origin)
	}
})

mod := func(allowList map[string]bool) func(r *http.Response) error {
	return func(r *http.Response) error {
		if origin := r.Request.Header.Get("Origin"); allowList[origin] {
			r.Header.Set("Access-Control-Allow-Origin", origin)
		}
		return nil
	}
}

proxy := &httputil.ReverseProxy{
	Director: func(r *http.Request) {
		r.URL.Scheme = "https"
		r.URL.Host = "go.dev"
		r.Host = r.URL.Host
	},
	ModifyResponse: mod(allowList),
}

答案2

得分: 1

每个传入请求只需要一个值。通常的做法是在服务器上配置受信任的来源，例如：

• trustedOrigins: [https://www.domain1.com, https://www.domain2.com]

然后检查由所有现代浏览器发送的origin头的运行时值。如果这是一个受信任的来源，那么添加CORS头：

• Access-Control-Allow-Origin: https://www.domain2.com

可以使用通配符，但这不被推荐，而且如果您还使用带有cookie的凭证请求（例如），它也无法按预期工作。