CORS с включенным встроенным скриптом для стороннего сервиса

Question

Я только что извлек из create-react-app и продолжаю сталкиваться с проблемами CORS. Я попробовал следующее внутри webpack-dev-server:

headers: {
  'Access-Control-Allow-Origin': '*',
  'Access-Control-Allow-Methods': 'GET, POST, PUT, DELETE, PATCH, OPTIONS',
  'Access-Control-Allow-Headers': 'X-Requested-With, content-type, Authorization',
  'Access-Control-Allow-Credentials': true
},

А также с промежуточным программным обеспечением Express:

before(app, server) {
  app.use(cors());
  // ...
}

Ни один из этих подходов не работает, поэтому я решил запустить свой браузер для локальной разработки, отключив веб-безопасность. Кажется, проблема в том, что все вызовы API получают соответствующий headers, однако ресурс, выбрасывающий ошибку, является встроенным скриптом, который мы включаем в index.html. Есть идеи?

Ошибка в браузере:

Access to XMLHttpRequest at '***URL***' from origin 'http://localhost:3000' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.