Кого пытается защитить CORS

CORS (Cross-Origin Resource Sharing) защищает пользователей, а не серверы. Он предотвращает доступ вредоносных сайтов к данным на других доменах без явного разрешения. Например, если пользователь вошел в банковский аккаунт, злоумышленник не сможет украсть данные через скрипт с другого сайта.

Пример:

fetch('https://bank.com/api/user-data', {
  method: 'GET',
  credentials: 'include' // Куки будут отправлены
})
// Браузер проверит CORS-заголовки сервера bank.com
// Если Access-Control-Allow-Origin не разрешает текущий домен - запрос заблокируется