CORS とは？

ブラウザには「同一オリジンポリシー」という安全装置があって、異なるオリジン（プロトコル+ドメイン+ポート）へのリクエストをデフォルトでブロックするんだ。フロントエンド（localhost:3000）からAPI（localhost:8080）にアクセスすると「異なるオリジン」と判定されてCORSエラーになるよ

API側で「Access-Control-Allow-Origin: https://your-frontend.com」ヘッダを返すようにするよ。Express.jsならcorsミドルウェア、Djangoならdjango-cors-headersで設定可能。「*」（全オリジン許可）は開発環境では楽だけど、本番では特定のオリジンだけ許可するのが鉄則だね

POST（JSONボディ）やカスタムヘッダ付きリクエストの場合、ブラウザは本命のリクエストの前にOPTIONSメソッドで「このリクエスト送っていい？」と事前確認するんだ。サーバーがOKと返せば本命のリクエストが送られる。シンプルなGETリクエストではプリフライトは発生しないよ

CORSは「ブラウザの安全装置」であって、サーバーのセキュリティ対策ではないよ。curlやPostmanからはCORS制約なしにアクセスできる。CORSはクロスサイトリクエストフォージェリ（CSRF）の緩和策の一つであって、APIの認証・認可（JWT、APIキー）は別途必要だね