Intergiciel CORS et récupération après panic
Politiques interorigines et récupération après des paniques
Intergiciel CORS et récupération après panic est une leçon Go Academy gratuite sur CoddyKit. Ceci est la leçon 4 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage Go Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours Go Academy comprend 4 leçons au total.
Qu’est-ce que CORS ?
Le partage des ressources entre origines (Cross-Origin Resource Sharing, CORS) est un mécanisme de sécurité du navigateur qui limite les origines pouvant envoyer des requêtes HTTP à votre API. Le serveur l’autorise en définissant des en-têtes de réponse.
Pré-vérification CORS
Avant une requête entre origines avec un en-tête personnalisé ou une méthode non simple, le navigateur envoie une pré-vérification OPTIONS. Votre intergiciel doit gérer OPTIONS et renvoyer 200 avec les en-têtes CORS.
Intergiciel CORS
Un intergiciel CORS simple pour le développement :
func CORS(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Access-Control-Allow-Origin", "https://myapp.com")
w.Header().Set("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Authorization,Content-Type")
if r.Method == http.MethodOptions {
w.WriteHeader(http.StatusOK); return
}
next.ServeHTTP(w, r)
})
}Origines autorisées
N’utilisez pas Access-Control-Allow-Origin: * lorsque des identifiants (cookies, en-têtes Authorization) sont concernés : utilisez une origine explicite. Pour plusieurs origines, effectuez une vérification dans une liste blanche.
allowedOrigins := map[string]bool{
"https://app.example.com": true,
"https://dev.example.com": true,
}
if allowedOrigins[r.Header.Get("Origin")] {
w.Header().Set("Access-Control-Allow-Origin", r.Header.Get("Origin"))
}Access-Control-Allow-Credentials
Autorisez l’envoi de cookies et d’en-têtes d’autorisation entre origines :
w.Header().Set("Access-Control-Allow-Credentials", "true")Bibliothèque rs/cors
Utilisez la bibliothèque github.com/rs/cors pour disposer d’un CORS adapté à la production, avec une mise en correspondance flexible des origines, la prise en charge des identifiants et la mise en cache des pré-vérifications.
c := cors.New(cors.Options{
AllowedOrigins: []string{"https://example.com"},
AllowedMethods: []string{"GET","POST","PUT","DELETE"},
AllowedHeaders: []string{"Authorization","Content-Type"},
AllowCredentials: true,
})
handler := c.Handler(mux)Intergiciel de récupération après une panique
Récupérez-vous des paniques afin d’empêcher le serveur de s’arrêter et de perdre toutes les connexions actives :
func Recovery(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
defer func() {
if rec := recover(); rec != nil {
log.Printf("panic: %v\n%s", rec, debug.Stack())
http.Error(w, "Internal Server Error", 500)
}
}()
next.ServeHTTP(w, r)
})
}runtime/debug.Stack
Affichez la trace complète de la pile des goroutines lorsqu’une panique survient afin de faciliter le diagnostic de sa cause racine :
import "runtime/debug"
log.Printf("panic: %v\n%s", rec, debug.Stack())Intégration de Sentry
Envoyez les paniques à Sentry ou à un service similaire de suivi des erreurs dans l’intergiciel de récupération, avant de renvoyer 500 au client.
Ordre : Recovery à l’extérieur
Enregistrez toujours Recovery comme intergiciel le plus extérieur (appliqué en premier) afin qu’il intercepte les paniques de tous les autres intergiciels et gestionnaires.
handler := Recovery(RequestID(Logger(Auth(mux))))Tests de la récupération après une panique
Écrivez un gestionnaire qui déclenche délibérément une panique, appelez-le via l’intergiciel dans un httptest, puis vérifiez que la réponse est 500.
panicHandler := http.HandlerFunc(func(_ http.ResponseWriter, _ *http.Request) { panic("test") })
w := httptest.NewRecorder()
Recovery(panicHandler).ServeHTTP(w, httptest.NewRequest("GET", "/", nil))
assert.Equal(t, 500, w.Code)Vérification rapide
Pourquoi l’intergiciel de récupération après une panique doit-il être la couche la plus extérieure ?
Récapitulatif : CORS et récupération après une panique
Points clés :
- CORS : définir les en-têtes Access-Control-Allow-* et gérer la pré-vérification OPTIONS
- Allow-Origin : utiliser une origine explicite, et non *, lorsque des identifiants sont concernés
- Recovery : defer recover() + consigner la trace de la pile + renvoyer 500
- Recovery doit être l’intergiciel le plus extérieur
Questions Fréquemment Posées
La leçon « Intergiciel CORS et récupération après panic » est-elle gratuite ?
Oui — le texte complet de « Intergiciel CORS et récupération après panic » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours Go Academy, passe à CoddyKit PRO. Le cours Go Academy comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Intergiciel CORS et récupération après panic » ?
Politiques interorigines et récupération après des paniques Tu pratiques Go Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer Go Academy ?
Aucune expérience préalable n'est requise. Go Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 4 sur 4.
Combien de temps prend la leçon « Intergiciel CORS et récupération après panic » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon Go Academy ?
Oui. Chaque leçon Go Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Fondamentaux de la chaîne d’intergiciels HTTP
- Intergiciel de journalisation et d’identifiant de requête
- Intergiciel d’authentification et de limitation du débit
- Intergiciel CORS et récupération après panic