CORS (совместное использование ресурсов между источниками).

CORS реализуется HTTP-заголовками ответа 'Access-Control-Allow-Origin', 'Access-Control-Allow-Methods', 'Access-Control-Allow-Headers' и 'Access-Control-Allow-Credentials'. Для «непростых» запросов браузер сначала отправляет preflight 'OPTIONS' и продолжает только при явном разрешении origin и метода. CORS не защищает сервер — API всё равно можно вызвать напрямую, — он лишь контролирует, какие источники могут прочитать ответ внутри браузера. Типичные ошибки (отражение заголовка 'Origin' с credentials, использование '*' вместе с куками, доверие к 'null'-источнику) приводят к утечке данных и угону аккаунтов. Безопасное умолчание — строгий per-route allow-list.