CORS разрешен, когда нет заголовка ответа Access-Control-Allow-Origin

Question

Я могу отправить post / put / delete на мой локальный хост, хотя заголовки ответа не включают «Access-Control-Allow-Origin», я использую chrome, поэтому мой вопрос:

1- разрешены ли запросы с другого сайта, если не возвращен "Access-Control-Allow-Origin"?

2 - почему запрос работал на моем локальном хосте, браузер отправил в запрос следующие заголовки:

Происхождение: http://localhost:8080

или браузеры игнорируют заголовок ответа «Access-Control-Allow-Origin», когда он того же источника?

Answer 1

разрешены ли запросы с другого сайта, если "Access-Control-Allow-Origin" не возвращен?

Будет разрешен запрос POST, при прочих равных условиях, но та же политика происхождения не позволит JS прочитать ответ.

Для запросов PUT и DELETE требуется предварительный запрос, чтобы сначала получить разрешение от CORS, поэтому запросы будут заблокированы.

почему запрос работал на моем локальном хосте

Одна и та же политика происхождения не блокирует доступ, если запрос от того же источника.