От чего защищает CORS

CORS (Cross-Origin Resource Sharing) защищает от несанкционированного доступа к ресурсам на другом домене. Браузеры блокируют запросы между разными источниками (origin) по умолчанию из-за политики Same-Origin, чтобы предотвратить атаки, например, CSRF или утечку данных. CORS позволяет серверу явно указать, какие домены могут обращаться к его ресурсам через HTTP-заголовки (Access-Control-Allow-Origin, Access-Control-Allow-Methods и др.).

Пример:

fetch('https://api.example.com/data', {
  method: 'GET',
  headers: {
    'Content-Type': 'application/json',
  },
  credentials: 'include',
})
.then(response => response.json())

Сервер должен ответить с заголовком:

Access-Control-Allow-Origin: https://your-site.com
Access-Control-Allow-Credentials: true

Без CORS браузер отклонит ответ, даже если сервер его отправил.