echoとginでCORS対応するときの違いについて

package main

import (
    "log"
    "time"
    "github.com/gin-contrib/cors"
    "github.com/gin-gonic/gin"
)

func main() {
    r := gin.Default()
    // r.Use() で使用したいミドルウェアなどの指定ができる。
    // https://godoc.org/github.com/gin-gonic/gin#RouterGroup.Use
    r.Use(cors.New(cors.Config{
        // 許可したいHTTPメソッドの一覧
        AllowMethods: []string{
            "POST",
            "GET",
            "OPTIONS",
            "PUT",
            "DELETE",
        },
        // 許可したいHTTPリクエストヘッダの一覧
        AllowHeaders: []string{
            "Access-Control-Allow-Headers",
            "Content-Type",
            "Content-Length",
            "Accept-Encoding",
            "X-CSRF-Token",
            "Authorization",
        },
        // 許可したいアクセス元の一覧
        AllowOrigins: []string{
            "https://www.example.com:8080",
        },
        // 自分で許可するしないの処理を書きたい場合は、以下のように書くこともできる
        // AllowOriginFunc: func(origin string) bool {
        //  return origin == "https://www.example.com:8080"
        // },
        // preflight requestで許可した後の接続可能時間
        // https://godoc.org/github.com/gin-contrib/cors#Config の中のコメントに詳細あり
        MaxAge: 24 * time.Hour,
    }))

    r.GET("/", func(c *gin.Context) {
        c.JSON(200, gin.H{
            "status": "success",
        })
    })

    if err := r.Run(); err != nil {
        log.Fatalf("main error: %s", err.Error())
    }
}

^_^ (fuji:~/Sandbox/go/gin-cors)
* curl -i -H "Origin:https://www.example.com:8080" localhost:8080
HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://www.example.com:8080
Content-Type: application/json; charset=utf-8
Vary: Origin
Date: Sat, 28 Dec 2019 14:48:12 GMT
Content-Length: 21

{"status":"success"}

^_^ (fuji:~/Sandbox/go/gin-cors)
* curl -i -H "Origin:https://www.example.com" localhost:8080
HTTP/1.1 403 Forbidden
Date: Sat, 28 Dec 2019 14:48:20 GMT
Content-Length: 0

package main

import (
    "github.com/labstack/echo"
    "github.com/labstack/echo/middleware"
    "net/http"
)

func main() {
    e := echo.New()

    // 許可したいアクセス元の一覧
    var allowedOrigins = []string{
        "https://www.example.com:8080",
    }

    // CORS用のmiddlewareはあるものの、403を勝手に返してくれるわけではない。
    // 以下のレスポンスヘッダを付与する役割がある。
    // Access-Control-Allow-Credentials: true
    // Access-Control-Allow-Origin: https://www.example.com:8080
    e.Use(
        middleware.CORSWithConfig(middleware.CORSConfig{
            AllowCredentials: true,
            AllowOrigins:     allowedOrigins,
            AllowHeaders: []string{
                echo.HeaderAccessControlAllowHeaders,
                echo.HeaderContentType,
                echo.HeaderContentLength,
                echo.HeaderAcceptEncoding,
                echo.HeaderXCSRFToken,
                echo.HeaderAuthorization,
            },
            AllowMethods: []string{
                http.MethodGet,
                http.MethodPut,
                http.MethodPatch,
                http.MethodPost,
                http.MethodDelete,
            },
            MaxAge: 86400,
        }),
    )

    // echoで起動しているAPIサーバーに、Originが不正な場合に403を返却させるには、自分でミドルウェアを書く必要がある
    e.Use(func(next echo.HandlerFunc) echo.HandlerFunc {
        return func(c echo.Context) error {
            // Originヘッダの中身を取得
            origin := c.Request().Header.Get(echo.HeaderOrigin)
            // 許可しているOriginの中で、リクエストヘッダのOriginと一致するものがあれば処理を継続
            for _, o := range allowedOrigins {
                if origin == o {
                    return next(c)
                }
            }
            // 一致しているものがなかった場合は403(Forbidden)を返却する
            // ginと処理を合わせるなら return c.NoContent(http.StatusForbidden) のがいいかも。
            return c.String(http.StatusForbidden, "forbidden")
        }
    })

    e.GET("/", func(c echo.Context) error {
        return c.String(http.StatusOK, "success")
    })
    e.Logger.Fatal(e.Start(":1323"))
}

^_^ (fuji:~/Sandbox/go/echo-cors)
* curl -i -H "Origin:https://www.example.com:8080" localhost:1323
HTTP/1.1 200 OK
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://www.example.com:8080
Content-Type: text/plain; charset=UTF-8
Vary: Origin
Date: Sat, 28 Dec 2019 15:10:18 GMT
Content-Length: 7

success
^_^ (fuji:~/Sandbox/go/echo-cors)
* curl -i -H "Origin:https://www.example.com" localhost:1323
HTTP/1.1 403 Forbidden
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: 
Content-Type: text/plain; charset=UTF-8
Vary: Origin
Date: Sat, 28 Dec 2019 15:10:22 GMT
Content-Length: 9

forbidden