CORS

CORS to mechanizm, w którym serwer nagłówkami określa, czy przeglądarka może udostępnić odpowiedź skryptowi z innego origin. Origin obejmuje schemat, host i port.

Przy niektórych żądaniach przeglądarka najpierw wysyła preflight OPTIONS, pytając o dozwoloną metodę i nagłówki.

Przykład: frontend na innym porcie niż API wymaga odpowiedniej konfiguracji po stronie API.

Pułapka: CORS nie jest uwierzytelnianiem, firewallem ani ochroną przed wszystkimi requestami. Niektóre żądania mogą dotrzeć do serwera mimo braku dostępu JS do odpowiedzi. Przy credentials nie można użyć Access-Control-Allow-Origin: *. no-cors nie daje swobodnego odczytu odpowiedzi.