Как работает CORS: какие запросы отправляет frontend и что должен вернуть backend?

Браузер отправляет Origin; для запросов, требующих preflight, сначала выполняет OPTIONS. Сервер должен разрешить источник, метод и заголовки соответствующими CORS-заголовками.

Для запроса с credentials нельзя использовать Access-Control-Allow-Origin: *: нужен разрешённый origin и разрешение credentials. Некоторые простые запросы уходят без preflight, но чтение ответа всё равно проверяется. CORS не заменяет авторизацию и CSRF-защиту, а его запрет не всегда означает, что сервер не выполнил операцию.