Как работает CORS

CORS (Cross-Origin Resource Sharing) — механизм, позволяющий браузеру запрашивать ресурсы с другого домена, отличного от текущего. Браузер автоматически блокирует такие запросы из-за политики same-origin, если сервер явно не разрешил их.

Как это работает:

1. Браузер отправляет предварительный запрос (preflight) OPTIONS, если запрос сложный (не GET/POST или с кастомными заголовками).
2. Сервер отвечает заголовками CORS, например:
   • Access-Control-Allow-Origin: * (или конкретный домен)
   • Access-Control-Allow-Methods: GET, POST, PUT
   • Access-Control-Allow-Headers: Content-Type

Пример настройки CORS в Flask:

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, resources={r"/api/*": {"origins": "https://example.com"}})

Важно: CORS — это защита браузера, а не сервера. Сервер должен дополнительно проверять Origin на бэкенде.