Как QA смотрит на CORS при тестировании API?

Question

Accepted Answer

CORS — браузерная политика: сервер через `Access-Control-*` разрешает origin'у читать ответ; из Postman/curl CORS не блокирует — QA проверяет заголовки и preflight глазами браузера.

## Разбор

- Простой запрос vs preflight `OPTIONS` для «непростых» методов/заголовков.
- Проверяйте `Access-Control-Allow-Origin`, methods, headers, `Allow-Credentials`.
- Баг: API «работает в Postman», но фронт падает — классика CORS.
- Не путайте CORS с авторизацией: разрешённый origin ≠ право на данные.

## Пример

```http
OPTIONS /api/orders
Origin: https://app.example.com
Access-Control-Request-Method: POST
→ 204
Access-Control-Allow-Origin: https://app.example.com
Access-Control-Allow-Methods: GET,POST
```

## Итог

Для CORS нужен браузерный контекст; серверный клиент CORS не доказывает.