Как CORS обрабатывается на сервере

CORS (Cross-Origin Resource Sharing) обрабатывается на сервере через HTTP-заголовки, которые определяют, какие домены могут обращаться к ресурсам сервера. Основные заголовки:

1. Access-Control-Allow-Origin: указывает разрешенные домены (* для всех).
2. Access-Control-Allow-Methods: разрешенные HTTP-методы (GET, POST и т.д.).
3. Access-Control-Allow-Headers: разрешенные заголовки запроса.
4. Access-Control-Allow-Credentials: разрешает передачу кук/авторизации.

Пример настройки в Node.js (Express):

app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', 'https://example.com');
  res.header('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
  res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization');
  res.header('Access-Control-Allow-Credentials', 'true');
  next();
});

Для сложных запросов (не GET/POST/HEAD) браузер сначала отправляет OPTIONS-запрос (preflight), на который сервер должен ответить с теми же заголовками.