На основе чего CORS блокирует запрос в браузере

CORS блокирует запрос, если сервер не предоставляет корректные заголовки ответа, разрешающие доступ с текущего источника (origin). Основные причины:

1. Отсутствие заголовка Access-Control-Allow-Origin или его несоответствие текущему origin. Например, если запрос отправлен с https://example.com, а сервер отвечает:
   http

   Копировать

   Access-Control-Allow-Origin: https://another.com

2. Запрещенные методы/заголовки – если запрос использует метод (PUT, DELETE и т.д.) или заголовки, не разрешенные сервером через Access-Control-Allow-Methods и Access-Control-Allow-Headers.

3. Отсутствие Access-Control-Allow-Credentials при запросе с credentials: true.

Пример ошибки в консоли:

Access to fetch at 'https://api.example.com' from origin 'https://client.com' has been blocked by CORS policy.