Является ли универсальным правило запрета кросс-доменных запросов

Нет, это не универсальное правило. Запрет кросс-доменных запросов (Same-Origin Policy) — это стандартная мера безопасности браузеров, но есть механизмы для безопасного обхода:

1. CORS (Cross-Origin Resource Sharing) — сервер может явно разрешить запросы с других доменов, добавив заголовки (Access-Control-Allow-Origin и др.).

fetch('https://api.example.com/data', {
  method: 'GET',
  headers: {
    'Content-Type': 'application/json',
  },
  credentials: 'include' // если нужны куки
})

2. JSONP — устаревший способ для GET-запросов (не рекомендуется из-за уязвимостей).

3. Прокси-сервер — запросы идут через ваш сервер, который выступает посредником.

4. WebSockets — не подпадают под SOP.

Важно: CORS требует поддержки сервера, а не только клиента. Для публичных API (например, GitHub API) CORS обычно настроен.