CORS

Parte do curso de Web

Seu frontend roda em localhost:3000, sua API roda em localhost:8000, e a requisição que funciona perfeitamente no curl falha no navegador com uma mensagem vermelha no console sobre Access-Control-Allow-Origin. Nada está quebrado. O navegador está fazendo exatamente aquilo para que foi projetado, está protegendo os seus usuários de um ataque real, e a correção é um único header de resposta no servidor.

Os navegadores impõem um limite chamado política de mesma origem: o JavaScript carregado de uma origem não pode ler respostas de uma origem diferente, a menos que essa origem permita explicitamente. ...