Как работает CORS

CORS (Cross-Origin Resource Sharing) — механизм, разрешающий или запрещающий запросы между разными источниками (доменами, протоколами, портами). Браузер автоматически добавляет заголовок Origin и проверяет ответ сервера на наличие Access-Control-Allow-Origin.

Пример запроса:

fetch('https://api.example.com/data', {
  method: 'GET',
  headers: { 'Content-Type': 'application/json' }
})

Пример ответа сервера:

Access-Control-Allow-Origin: https://yourdomain.com
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type

Нюансы:

• Для POST, PUT, DELETE браузер сначала отправляет OPTIONS-запрос (preflight).
• Простые запросы (GET, POST с некоторыми заголовками) не требуют preflight.
• Сервер должен явно разрешить CORS, иначе браузер заблокирует ответ.