Vì sao curl không bao giờ báo lỗi CORS — và CORS không hề bảo vệ máy chủ của bạn
CORS như người quản gia thận trọng của chính trình duyệt bạn: nó giao thư đi tới mọi máy chủ, nhưng chỉ đọc hồi âm cho JavaScript nếu máy chủ cho phép. Preflight đo được, ba cách cấu hình, vì sao allowCredentials không đi với dấu sao.