Estou criando uma API RESTful com NodeJS e express e nela, estou utilizando o cors para "controle" de requisições.
No navegador funciona, se eu faço uma requisição a essa API pelo console do site aqui do StackOverflow, eu não consigo usar, ele está bloqueado, se eu for em meu domínio no qual eu liberei acesso desta forma:
app.get('/product/:id', cors({ origin: "https://www.meusite.com.br" })
Eu consigo êxito ao usar a API.
Porém, a dúvida é, se eu for de qualquer lugar utilizando o Postman, o Insomnia ou derivados, eu consigo usufruir de qualquer recurso da API.
Por que isso acorre?