Блог
CORS и Content-Security-Policy: дополняющие механизмы
CORS про чтение ответов; CSP про XSS и connect-src.
1 мин чтения
corscspsecurity
Зачем оба
CSP ограничивает connect-src.
Тестируйте на staging.
connect-src
Согласуйте домены API.
Избегайте широких wildcards.