Какие настройки нужно указать для получения разрешения на конкретные домены в CORS

Для настройки CORS на сервере нужно указать заголовки, разрешающие запросы с определённых доменов. Основные заголовки:

1. Access-Control-Allow-Origin – указывает разрешённые домены (например, https://example.com). Для нескольких доменов нужно динамически проверять Origin и подставлять его в ответ, если он в белом списке.

2. Access-Control-Allow-Methods – разрешённые HTTP-методы (например, GET, POST, PUT).

3. Access-Control-Allow-Headers – разрешённые заголовки запроса (например, Content-Type, Authorization).

4. Access-Control-Allow-Credentials – true, если нужны куки/авторизация.

Пример настройки в Express.js:

app.use((req, res, next) => {
  const allowedOrigins = ['https://example.com', 'https://api.example.com'];
  const origin = req.headers.origin;
  if (allowedOrigins.includes(origin)) {
    res.setHeader('Access-Control-Allow-Origin', origin);
  }
  res.setHeader('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
  res.setHeader('Access-Control-Allow-Headers', 'Content-Type, Authorization');
  res.setHeader('Access-Control-Allow-Credentials', 'true');
  next();
});