В каких случаях CORS не работает

CORS (Cross-Origin Resource Sharing) не работает в следующих случаях:

1. Запросы без Origin: Если запрос не содержит заголовок Origin (например, простые запросы типа GET, POST с Content-Type: text/plain), CORS не применяется.

2. Неправильные заголовки на сервере: Если сервер не возвращает заголовки Access-Control-Allow-Origin, Access-Control-Allow-Methods и т.д., браузер блокирует ответ.

3. Неподдерживаемые методы/заголовки: Если метод (например, PUT, DELETE) или заголовки (кастомные) не разрешены сервером в Access-Control-Allow-Methods и Access-Control-Allow-Headers.

4. Credential-запросы без withCredentials: Если запрос требует куки/авторизацию, но клиент не установил withCredentials: true в fetch или XMLHttpRequest.

Пример ошибки CORS:

fetch('https://api.example.com/data', {
  method: 'POST',
  headers: { 'Custom-Header': 'value' }
}).then(response => response.json())
  .catch(error => console.error('CORS error:', error));