Про CORS

Попытаюсь упрощённо объяснить, что такое CORS, зачем он нужен и как с ним бороться. Если интересно только последнее, можно сразу листать вниз.

Возьмём для примера какой-нибудь проект типа Instagram. У него есть мобильные приложения, а значит, есть API. Скорее всего приватное. И тут появляется условный разработчик Вася. Декомпилит и реверсит приложение, достаёт все нужные эндпоинты и ключи. И думает: «а дай-ка я сделаю свой веб-клиент к инстаграмму, добавлю туда нескучных стикеров, навешаю свою рекламу и дам имя Plesnigram».

Пользователь открывает Васин веб-клиент по адресу plesnigram.com, веб-клиент шлёт запросы на api.instagram.com. Можно гребсти бабло лопатой, паразитируя на чужой инфраструктуре. А инстаграм сидит и локти на ногах кусает — никак Васин клиент не заблокируешь же. У его пользователей айпишники-то разные. А больше никакой инфы и нет в request.

И всё классно было бы у Васи в мире без CORS. Но в нашем мире первый же запрос к API выплюнет такую ошибку в консоль браузера:

Access to…