CORS

Часть курса Web

Ваш фронтенд работает на localhost:3000, API на localhost:8000, и запрос, который в curl проходит безупречно, в браузере падает с красной строкой в консоли про Access-Control-Allow-Origin. Ничего при этом не сломано. Браузер делает ровно то, ради чего его так устроили, и защищает ваших пользователей от вполне настоящей атаки, а лечится всё одним заголовком ответа на сервере.

Браузер держит границу, которая называется политикой одного источника: JavaScript, загруженный с одного источника, не может читать ответы, пришедшие с другого источника, пока тот источник этого явно не разрешит. ...