Зачем нужен CORS

CORS (Cross-Origin Resource Sharing) — механизм безопасности браузеров, который разрешает или запрещает запросы к ресурсам на другом домене. Без CORS браузер блокирует такие запросы из-за политики Same-Origin Policy (SOP), защищающей от межсайтовых атак (например, CSRF).

Пример: если фронтенд на https://example.com пытается получить данные с https://api.example.org, сервер должен отправить заголовки CORS (например, Access-Control-Allow-Origin: *), иначе браузер отклонит ответ.

fetch('https://api.example.org/data')
  .then(response => response.json())
  .then(data => console.log(data));

Нюансы:

• CORS не защищает сервер — это браузерный механизм.
• Для сложных запросов (например, с Content-Type: application/json) сначала отправляется предварительный OPTIONS-запрос (preflight).
• Access-Control-Allow-Origin: * разрешает доступ всем, но не поддерживает credentials (куки, авторизация). Для них нужно явно указать домен.