Как CORS понимает какой кросс-доменный запрос блокировать

CORS (Cross-Origin Resource Sharing) работает на основе HTTP-заголовков. Браузер автоматически добавляет заголовок Origin к кросс-доменным запросам, указывая источник запроса. Сервер анализирует этот заголовок и решает, разрешать ли запрос, отправляя соответствующие заголовки в ответ:

1. Access-Control-Allow-Origin - указывает разрешенные домены (* для всех)
2. Access-Control-Allow-Methods - разрешенные HTTP-методы
3. Access-Control-Allow-Headers - разрешенные заголовки

Пример ответа сервера:

Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type

Для "непростых" запросов (например, с кастомными заголовками) браузер сначала отправляет OPTIONS-запрос (preflight), чтобы проверить разрешения.