Markiere das, wenn dein Code <code>credentials: 'include'</code> (oder <code>withCredentials</code>) verwendet. Das ändert die Regeln: Der Origin darf nicht mehr <code>*</code> sein, Wildcards gelten nicht mehr, und der Server muss mit <code>Access-Control-Allow-Credentials: true</code> antworten.
Die der ANFRAGE, nicht die der Antwort. Sie entscheiden, ob der Browser zuerst ein OPTIONS sendet, und sie sind es, die „Access-Control-Allow-Headers" abdecken muss.
Der Browser sendet zuerst eine OPTIONS-Anfrage (Preflight), wegen der Content-Type
application/json. Dein Server muss auch auf DIESES OPTIONS antworten, nicht nur auf die eigentliche Anfrage.Gefundene CORS-Header
Access-Control-Allow-Originhttps://myapp.comPermite solo el origen: https://myapp.comAccess-Control-Allow-MethodsPOSTMétodos permitidos: POSTAccess-Control-Allow-HeadersContent-TypeCabeceras permitidas en la petición: Content-TypeVorgeschlagene Header für deinen Server
Access-Control-Allow-Origin: https://myapp.com Vary: Origin Access-Control-Allow-Methods: POST Access-Control-Allow-Headers: Content-Type Access-Control-Max-Age: 86400
Das wird anhand der Header entschieden, die du einfügst, ohne ins Netz zu gehen — deshalb funktioniert es auch für eine lokale oder private API. Wenn du die Anfrage WIRKLICH abschicken und sehen willst, ob dein Server geantwortet hat, gibt es die API-Werkbank.