Dein fetch zur API scheitert im Browser mit einem CORS-Fehler, derselbe Request funktioniert in curl aber problemlos. Was ist da los und was machst du?

CORS wird vom Browser durchgesetzt, nicht vom Server, curl bekommt es also nie zu sehen. Der Request hat den Server vermutlich erreicht, und der Antwort fehlte schlicht ein Allow-Origin-Header, den der Browser akzeptiert, oder ein Preflight per OPTIONS ist gescheitert. Schau im Network-Tab nach dem OPTIONS-Request und seinen Response-Headern, prüf, ob erlaubte Origin, Methoden und Header deinen Aufruf abdecken, und denk daran, dass Credentials eine explizite Origin plus Allow-Credentials brauchen, niemals einen Wildcard.

Das Erste, was ich sage, ist, dass CORS eine Browser-Regel ist und keine Server-Regel, ein erfolgreiches curl sagt mir also nichts außer dass der Endpoint lebt. Der Browser hat den Request gemacht, oder einen Preflight dafür, und sich geweigert, mir die Antwort zu geben, weil die Header meine Origin nicht erlaubt haben. Ich öffne also den Network-Tab und suche zuerst nach einem OPTIONS-Request. Ist er da und liefert 4xx, scheitert der Preflight selbst, meistens weil ich einen eigenen Header oder einen JSON-Content-Type ergänzt habe, was ihn aus der Kategorie einfacher Requests geschoben hat, und die erlaubte Header-Liste des Servers ihn nicht enthält. Gibt es keinen Preflight, fehlt der eigentlichen Antwort ein Allow-Origin-Header, der zu meiner Origin passt. Der Fix liegt serverseitig. Lokal proxye ich in der Entwicklung über den Dev-Server, damit meine Origin passt, aber ich stelle sicher, dass die echten Header auch konfiguriert sind, sonst bricht es im Staging. Und wenn der Aufruf Cookies schickt, muss der Server eine konkrete Origin plus Allow-Credentials zurückgeben, weil ein Wildcard in dem Fall abgelehnt wird.