Зачем нужен CORS

CORS (Cross-Origin Resource Sharing) — механизм безопасности браузеров, который разрешает или запрещает запросы к ресурсам с других доменов. Он предотвращает потенциально опасные межсайтовые запросы, защищая пользователей от атак, таких как CSRF.

Пример: если фронтенд на example.com пытается сделать AJAX-запрос к API на api.example.org, браузер сначала отправит предварительный запрос (preflight) с методом OPTIONS, чтобы проверить, разрешён ли доступ. Сервер должен ответить с заголовками, например:

from flask import Flask, jsonify

app = Flask(__name__)

@app.route('/data', methods=['GET'])
def get_data():
    response = jsonify({"data": "secret"})
    response.headers.add('Access-Control-Allow-Origin', 'https://example.com')
    return response

Без CORS браузер заблокирует такой запрос. Настройки CORS на сервере определяют, какие домены, методы и заголовки разрешены.