CORS의 동작 원리와 해결 방법은 무엇인가요?

CORS(Cross-Origin Resource Sharing)는 추가 HTTP 헤더를 사용하여, 한 출처(Origin)에서 실행 중인 웹 애플리케이션이 다른 출처의 선택한 자원에 접근할 수 있는 권한을 부여하도록 브라우저에 알려주는 체계입니다. 여기서 '출처'는 프로토콜(HTTP/HTTPS), 호스트명(도메인), 포트 번호가 모두 일치하는 경우를 의미하며, 이 중 단 하나만 달라도 브라우저는 이를 교차 출처로 판단하고 보안 제약을 적용합니다.

웹 브라우저는 기본적으로 동일 출처 정책(SOP, Same-Origin Policy)을 따릅니다. 이는 잠재적으로 해로운 문서가 다른 문서의 리소스에 접근하는 것을 제한함으로써 사이트 간 요청 위조(CSRF)나 데이터 유출과 같은 보안 위협을 방지하는 핵심 보안 모델입니다. 하지만 현대의 웹 아키텍처는 마이크로서비스나 외부 API 활용이 빈번하므로, 서버 측에서 명시적으로 허용된 출처에 대해서는 리소스를 공유할 수 있도록 예외를 두는 CORS 메커니즘이 필수적으로 자리 잡았습니다.

CORS의 핵심 동작인 예비 요청(Preflight Request) 과정을 살펴보면, 브라우저는 실제 요청을 보내기 전에 OPTIONS 메서드를 이용해 서버가 해당 요청을 허용하는지 미리 확인합니다. 이때 서버는 응답 헤더에 'Access-Control-Allow-Origin'을 포함하여 허용 도메인을 알려주고, 'Access-Control-Allow-Methods'로 허용되는 HTTP 메서드를 전달합니다. 브라우저는 이 응답을 검증한 뒤에야 실제 데이터를 전송하는 본 요청을 수행하게 됩니다. 반면 간단한 조건(GET/POST 메서드, 특정 헤더 등)을 만족하는 '단순 요청'은 예비 요청 없이 바로 본 요청을 수행하기도 합니다.