CORS заголовки должны быть установлены на сервере, который отвечает на Ваш запрос (в данном случае, Google API), а не на Вашем клиенте. Это механизм безопасности браузеров, и заголовки CORS должны быть установлены на стороне сервера. Если сервер настроен так, чтобы не принимать запросы с Вашего домена или IP-адреса, то на клиенте (в Вашем React-приложении) эту проблему не решить.
Если я загружаю папку со всеми файлами сайт не работает.
да, это решение ближе всего, я тоже о нем думал... но картинки будут подгружаться из базы
не составит ли такая разметка проблем при бэкэнде ?
Быстрый грязный код
А чем вам инлайн не нравится?
Зависит от Вашего юриста. В целом, напряжённо, ибо здесь целых 2 подозрительных типа в сделке.