Для чего нужны ограничения на запросы от доменов

Ограничения на запросы от доменов (CORS — Cross-Origin Resource Sharing) нужны для защиты пользователей от межсайтовых атак (например, CSRF). Браузер блокирует запросы между разными доменами, если сервер явно не разрешил их через заголовки (Access-Control-Allow-Origin и др.).

Пример: если сайт example.com пытается сделать AJAX-запрос к API на api.another.com, сервер должен ответить с заголовком:

Access-Control-Allow-Origin: https://example.com

Иначе браузер отклонит ответ. Для простых запросов (GET, POST с некоторыми Content-Type) работает предварительная проверка (preflight) через OPTIONS.