Vấn đề
Khi web browser gọi API cross-origin, bị chặn bởi Same-Origin Policy (CORS). Nhưng Postman và các công cụ tương tự không bị giới hạn này.
Giải thích
Browser áp dụng Same-Origin Policy cho XMLHttpRequest/fetch để bảo mật. Extension như Postman chạy trong ngữ cảnh khác, không bị ràng buộc bởi chính sách này, nên có thể gọi tự do đến bất kỳ server nào.