Что такое CORS?

CORS (Cross-Origin Resource Sharing) — это механизм, позволяющий веб-страницам запрашивать ресурсы с другого домена, порта или протокола, отличного от того, с которого была загружена сама страница. Это делается с помощью дополнительных HTTP-заголовков.

По умолчанию, браузеры применяют политику Same-Origin Policy (SOP), которая запрещает скриптам, выполняющимся на одной странице, доступ к данным с другого источника (домена, порта, протокола). CORS ослабляет эту политику контролируемым образом, предоставляя серверу возможность явно разрешать кросс-доменные запросы.

Как работает CORS:

1. Простой запрос: Если запрос соответствует определенным критериям (например, используется метод GET или POST, разрешены только определенные заголовки), браузер отправляет запрос напрямую с дополнительным заголовком Origin, указывающим источник запроса. Сервер, при получении этого заголовка, может ответить с заголовком Access-Control-Allow-Origin, указывающим разрешенный источник.
2. Preflight-запрос: Для "непростых" запросов (например, с использованием методов PUT, DELETE, или с пользовательскими заголовками), браузер сначала отправляет предварительный (preflight) OPTIONS-запрос. Этот запрос спрашивает сервер, разрешено ли отправлять сам целевой запрос. Сервер отвечает с заголовками, указывающими разрешенные методы, заголовки и источники. Если preflight-запрос успешно завершае