CORSリクエストでクレデンシャル(≒クッキー)を必要とする場合の注意点 - Qiita

クレデンシャルの送信クロスオリジンのAJAXリクエストでクレデンシャル(クッキーの送信またはBASIC認証)を必要とする場合は、それを許可するオプションをフロント側Javascriptで付けておく…