Что такое CORS policy

CORS (Cross-Origin Resource Sharing) — механизм безопасности браузеров, который ограничивает кросс-доменные HTTP-запросы. Браузер блокирует запросы к другому домену, если сервер не разрешает их явно через заголовки.

Пример заголовков для разрешения CORS:

Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Headers: Content-Type

Для простых запросов (GET, POST с определенными Content-Type) браузер отправляет запрос сразу. Для сложных (например, с кастомными заголовками) сначала отправляет OPTIONS-запрос (preflight).

Пример ошибки в консоли:
Access to fetch at 'https://api.example.com' from origin 'https://your-site.com' has been blocked by CORS policy

Обойти CORS на клиенте нельзя — сервер должен явно разрешить запросы. В development можно использовать прокси или отключить CORS в браузере (только для тестов).