Как обходится CORS?

Question

[Леонид]

Есть .NET сервер с включеной CORS. с webapi проблем нет но есть с файлами с расширением ashx

При этом Postman как то с ними работает. Точно также работает и html тег проигрывателя.
Проблема в том что надо послать заголовок bearer авторизации. и вот если пытатся обратится к файлу яваскриптом выдает нет доступа по CORS
Собственно вопрос - в чем разница? как постман и тэг обходят cors? ведь это тот же самый http протокол
в чем вообще осбенность файлов с эти расширением что они по другому отвечают чем обычное webapi

Answer 1

[Иван Шумов]

Если проблема с CORS то есть всего 2 варианта - делать свой бэк или делать http reverse proxy

Answer 2

[Rsa97]

Postman - это средство разработки, расширение браузера. Он перехватывает ответ ещё до анализа браузером и не обращает внимания на политику CORS.
Для AJAX запрос анализируется браузером, который блокирует кросс-доменные запросы, если предварительно по запросу OPTION не вернулись разрешения на нужные методы, домены и т.д.