CORS (cross-origin resource sharing)

Коротко: За замовчуванням браузери не дозволяють скриптам сторінки читати відповіді іншого джерела (домену, порту, протоколу). CORS — механізм, за допомогою якого сервер свідомо дозволяє це.

Докладніше: Правило називається same-origin policy. Заголовком відповіді Access-Control-Allow-Origin сервер оголошує, що певне чуже джерело може звертатися до нього. Для запитів зі спеціальними методами чи заголовками браузер заздалегідь надсилає «preflight»-запит (OPTIONS).

Подробиці

• Часта помилка: «blocked by CORS policy» у консолі. Причина на боці сервера, а не в коді браузера.
• * з cookie: підставний символ для джерела не допускається.

Див. також: заголовки безпеки (HSTS, CSP та інші), REST