Saas 서비스의 기본은 "CORS는 Gateway에만"

SaaS 서비스의 기본은 “CORS는 Gateway에만”입니다.

[브라우저 사용자]
      ↓
[  api.myservice.com  ]  ← ✅ CORS 허용된 유일한 API 엔드포인트 (Gateway 역할)
      ↓
 ┌────────────┬────────────┬────────────┐
│   Auth API  │  Payment   │  Noti/SNS  │ ← 내부 API들 (CORS ❌, 인증 헤더만으로 통신)
└────────────┴────────────┴────────────┘

• CORS는 브라우저 전용 보안 정책 (서버 간 통신에는 적용되지 않음)
• 내부 서버마다 다 열어두면 공격면이 넓어짐
• 인증 토큰 검증
• 속도 제한
• 로그 수집, 모니터링, 트래픽 통계 등

서비스	구조 요약	브라우저에서 접근	CORS 처리
Stripe	Dashboard + API	오직 api.stripe.com	해당 도메인에만 CORS 허용
Supabase	Gateway가 있음	*.supabase.co API 호출	Gateway에서만 CORS
Auth0	https://your-tenant.auth0.com	여기에만 CORS 허용	내부 서비스는 서버 간만 통신

---