CORS *: агент открывает API всем, чтобы «с localhost завелось»

Dev origin явно. Прод — белый список.

Звезда с credentials — ещё хуже.

Dev

http://localhost:порт.

Прод

Точные origin. Не *.

См. также: ревью.

Мы используем файлы cookie для того, чтобы предоставить пользователям больше возможностей при посещении сайта. Оставаясь на сайте, Вы соглашаетесь на обработку файлов cookie. Подробнее об условиях использования.