Cross-Origin Resource Sharing (CORS или “совместное использование ресурсов различными источниками”)
Когда браузер отправляет запрос на сервер, он сначала отправляет Options HTTP-запрос. Это и есть предварительным CORS-запрос. Затем сервер отвечает списком разрешенных методов и заголовков.
Access-Control-Allow-Origin указывает, какой источник может получать ресурсы. например: https://foo.io,http://bar.io.
Access-Control-Allow-Methods указывает, какие HTTP-методы разрешены. например: GET,PUT,POST.
Access-Control-Allow-Headers указывает, какие заголовки запросов разрешен. Authorization,X-My-Token
Access-Control-Allow-Credentials указывает, разрешена ли отправка файлов cookie. По умолчанию: false.
Access-Control-Max-Age указывает в секундах, как долго должен кэшироваться результат запроса. По умолчанию: 0.
Источник подробнее: https://habr.com/ru/companies/otus/articles/706908/
