Что такое CORS (Cross-Origin Resource Sharing)

CORS — механизм безопасности браузеров, который разрешает или запрещает запросы к ресурсам с других доменов (origin). Браузер блокирует кросс-доменные запросы по умолчанию из-за политики Same-Origin Policy (SOP).

Как работает:

1. Браузер отправляет предварительный запрос (preflight) с методом OPTIONS, если запрос "непростой" (например, с кастомными заголовками).
2. Сервер отвечает заголовками (Access-Control-Allow-Origin, Access-Control-Allow-Methods), указывая разрешённые домены и методы.

Пример настройки CORS в Flask:

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, resources={r"/api/*": {"origins": "https://example.com"}})

Ключевые заголовки:

• Access-Control-Allow-Origin: * (разрешает всем)
• Access-Control-Allow-Methods: GET, POST
• Access-Control-Allow-Headers: Content-Type

CORS не защищает сервер, а лишь управляет доступом браузеров к ответам. Для API без браузеров CORS не требуется.