Почему настройка CORS Access-Control-Allow-Origin: * считается опасной?

Звездочка * означает, что любой сайт в интернете может делать AJAX-запросы к вашему API и читать ответы.

Почему это опасно:
Если ваше API использует Cookie для авторизации (или Basic Auth), хакер может создать зловредный сайт hacker.com. Когда авторизованный юзер зайдет на этот сайт, JS-скрипт хакера сделает запрос к вашему API от лица юзера.
Так как стоит *, браузер пропустит запрос, и хакер сможет прочитать личные данные юзера из ответа.

✅ Правило: Для публичных API (погода, курсы валют) * — это нормально. Для приватных API с авторизацией нужно жестко указывать конкретные домены (Allow-list).