Против чего борется CORS

CORS (Cross-Origin Resource Sharing) борется с ограничениями политики Same-Origin, которая запрещает запросы между разными доменами, протоколами или портами. Это мера безопасности для предотвращения атак, таких как CSRF (межсайтовая подделка запроса) или утечка данных.

Пример: если сайт example.com пытается сделать AJAX-запрос к api.another.com, браузер заблокирует его без CORS. Сервер api.another.com должен явно разрешить такие запросы, добавив заголовки:

Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST

Без CORS злоумышленник мог бы украсть данные с другого сайта через скрипт на своей странице. CORS дает серверу контроль над тем, кто может обращаться к его ресурсам.