CORS nedir? Preflight (OPTIONS) isteği ne zaman gönderilir?

CORS (Cross-Origin Resource Sharing), tarayıcının Same-Origin Policy kısıtlamasını sunucunun izniyle gevşetmesini sağlayan mekanizmadır. Origin = protokol + domain + port; https://app.com ile https://api.app.com farklı origin'dir.

Önemli nokta: CORS bir tarayıcı kuralıdır. İstek çoğu zaman sunucuya ulaşır; tarayıcı, cevapta uygun başlık yoksa JavaScript'in cevabı okumasını engeller. Postman veya curl'de CORS hatası olmaz.

Access-Control-Allow-Origin: https://app.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 600

Preflight ne zaman olur?

"Basit istek" olmayan durumlarda tarayıcı önce bir OPTIONS isteği gönderip izin sorar:

• Metot GET, HEAD, POST dışındaysa (PUT, DELETE, PATCH).
• Content-Type application/json gibi basit olmayan bir tipse.
• Authorization gibi özel header'lar varsa.

Access-Control-Max-Age preflight cevabını cache'leyerek her istekte tekrarını önler.

Sık hatalar

• Cookie göndermek için client'ta credentials: "include" ve sunucuda Allow-Credentials: true gerekir; bu durumda Allow-Origin: * kullanılamaz, origin açıkça yazılmalıdır.
• CORS'u frontend'den "kapatmak" mümkün değildir; çözüm sunucu ayarı veya geliştirmede bir proxy'dir (Vite server.proxy).
• CORS bir yetkilendirme (authorization) mekanizması değildir; sunucu yine kimlik doğrulaması yapmalıdır.