CORS · 跨域被浏览器拦了
英文：cors（缩写，逐字母读 C-O-R-S）
后端与数据库难度：进阶 ★★
🗣️一句话大白话
浏览器的安全规矩：网页 A 想直接请求网页 B 的接口，B 必须明确表态「我允许 A」。没表态，浏览器就直接拦下——接口本身可能是通的，是浏览器在门口拦你。
🎬真实场景
你的前端跑在 localhost:3000，后端接口在 localhost:8000——端口不同就是「跨域」。前端调接口报 CORS 错误，用 curl 直接调却是通的：这说明不是接口坏了，是浏览器在拦。
📮你可以这样说
「「后端接口配置 CORS：允许来自 http://localhost:3000 的跨域请求，允许这些方法和请求头，生产环境换成正式域名。」」
⚠️边界与常见误解
- ▸CORS 是浏览器行为：curl、Postman、服务器之间调用不受限——这是判断问题的关键
- ▸「允许所有来源 (*)」图省事但降低安全性，生产环境要写具体域名
- ▸带 Cookie 的跨域请求要求更严：前后端都要单独配置