परक्षेत्रनीतिः। स्वास्थ्यप्रबोधे (११ अक्टो) पात्रम्। अत्र ब्राउसर् कः पठतु। CORS, Origin, preflight। न तारका द्वारम्; परक्षेत्रधर्मः।
English (minimizable)
After health probes (11 Oct), this post covers CORS: same-origin basics, allow-lists, preflight, credentials, Vary/CDN, gateway policy, env lists, errors and why CORS is not authorization.
पूर्ण-शीर्षकम् / Full title
परक्षेत्रनीतिः: A Metrical Codification of CORS (with English glosses)
English · overview and topics (minimizable)
What this post is about
CORS is the browser mechanism that lets servers opt in to cross-origin reads from web pages.
Topics covered
- Same-origin policy
- Allow-Origin allow-lists (not unchecked *)
- Preflight OPTIONS
- Credentials mode
- Vary: Origin and caches
- Gateway-central policy
- Dev vs prod lists
- CORS on errors
- Not a substitute for authz
- Sessions + SPA
Sanskrit title
परक्षेत्रनीतिः = para-kṣetra-nītiḥ “other-field / cross-origin policy”.
English
Minimizable; Sanskrit-first.
परम्परा-सन्धिः / Series links
| पूर्वं / Prior | अत्र / Adds | न पुनः / Does not repeat |
|---|---|---|
| सत्रधर्मः (३० सितम्बे) | cookies | credentialed CORS |
| सिमान्तसञ्चयः (२ अक्टो) | CDN | Vary Origin |
| द्वारपालसेवा (१२ अगस्त) | gateway | central CORS |
| पहिचानप्रवेशः (२१ जुलै) | authz | CORS not enough |
| इदम् | CORS allow-list preflight | - |
ग्राह्य-त्याज्य-विवेकः / Keep and avoid
ग्राह्यम् / Keep
१. strict Origin list: exact match
२. preflight honesty: methods headers named
३. credentials rules: no * with cookies
४. Vary Origin: when reflecting Origin
५. env split: no localhost in prod
६. errors too: CORS on 4xx/5xx
७. authz separate: real permission checks
त्याज्यम् / Avoid
- Access-Control-Allow-Origin: * with cookies
- reflect any Origin
- CORS as only API security
अध्याय-योजना / Chapter plan
| प्रकरणम् | विषयः | छन्दः | श्लोकाः |
|---|---|---|---|
| १ | मङ्गलं बीजं च / Opening | अनुष्टुभ् | २ |
| २ | मूलतत्त्वानि / Core | अनुष्टुभ् | २ |
| ३ | मुख्यविधिः / Method | उपजाति | १ |
| ४ | रक्षा · विधिः / Guards | अनुष्टुभ् | २ |
| ५ | विवेक · सीमा / Judgment | अनुष्टुभ् | २ |
| ६ | पूर्वसन्धिः / Series links | उपजाति | १ |
| ७ | उपसंहारः / Close | अनुष्टुभ् | २ |
पारिभाषिक-कोशः / Glossary
| Modern English | संस्कृतम् | Note |
|---|---|---|
| CORS | परक्षेत्रनीतिः / CORS | |
| origin | मूलम् / Origin | |
| preflight | पूर्वउड्डयनम् | |
| Allow-Origin | अनुज्ञामूलम् | |
| credentials | प्रत्ययसामग्री | |
| Vary | Vary | |
| same-origin policy | समानमूलनीतिः | |
| wildcard | तारका | |
| SPA | एकपृष्ठअनुप्रयोगः | |
| CSRF | परस्थलजालनम् |
श्लोकः १ (अनुष्टुभ्)
परक्षेत्रनीतिस्तस्माद् ब्राउसर्धर्मः ॥१॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
जालपुटे यदि अन्यमूलं बिना नीतिं पठेत् तदा भेदः ।
परक्षेत्रनीतिस्तस्माद् ब्राउसर्धर्मः ॥१॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| जालपुटे | in browser |
| अन्यमूलम् | cross-origin |
| बिना नीतिम् | without policy |
| पठेत् | reads |
| भेदः | separation/split |
| परक्षेत्रनीतिः | CORS policy |
| ब्राउसर्धर्मः | browser rule |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| अन्यमूलम् | other origin |
| परक्षेत्रनीतिः | CORS |
| ब्राउसर्धर्मः | browser dharma |
English sense
Browsers enforce same-origin policy. CORS is the explicit server opt-in that allows chosen cross-origin web apps to read responses.
Context / topic
Topic: why CORS exists.
वृत्तमिति: ८-८-८-८।
श्लोकः २ (अनुष्टुभ्)
तारका सर्वं द्वारं चोरस्य ॥२॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
Access-Control-Allow-Origin स्पशं एकं वा ।
तारका सर्वं द्वारं चोरस्य ॥२॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| Access-Control-Allow-Origin | Allow-Origin |
| स्पशम् | clear |
| एकम् | one |
| वा | or |
| तारका | star |
| सर्वम् | everything |
| द्वारम् | door |
| चोरस्य | of thief |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| Allow-Origin | ACO header |
| तारका | wildcard * |
English sense
Reflect only allow-listed origins. Using * with credentials is invalid and reflecting any Origin unchecked is dangerous.
Context / topic
Topic: Allow-Origin allow-list.
वृत्तमिति: ८-८-८-८।
श्लोकः ३ (अनुष्टुभ्)
अनवधानं PUT छिद्राय ॥३॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
preflight OPTIONS सत्यं विधिसूचीं वदेत् ।
अनवधानं PUT छिद्राय ॥३॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| preflight | preflight |
| OPTIONS | OPTIONS |
| सत्यम् | true |
| विधिसूचीम् | method list |
| वदेत् | should say |
| अनवधानम् | careless |
| PUT | PUT |
| छिद्राय | for a hole |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| preflight | OPTIONS preflight |
| विधिसूचीम् | allowed methods |
English sense
Answer preflights with exact methods and headers you intend. Over-broad Allow-Methods invites abuse.
Context / topic
Topic: preflight.
वृत्तमिति: ८-८-८-८।
श्लोकः ४ (अनुष्टुभ्)
Cookie cross-site विवेकः ॥४॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
credentials सह Origin तारका मा ।
Cookie cross-site विवेकः ॥४॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| credentials | credentials |
| सह | with |
| Origin | Origin |
| तारका | wildcard |
| मा | not |
| Cookie | Cookie |
| cross-site | cross-site |
| विवेकः | judgment |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| credentials | cookies/auth headers |
| तारका मा | no wildcard |
English sense
If Access-Control-Allow-Credentials is true you must name a specific origin. Pair with CSRF defenses on cookie sessions.
Context / topic
Topic: credentials mode. Links to sessions.
वृत्तमिति: ८-८-८-८।
श्लोकः ५ (उपजाति)
अन्यथा एकस्य उत्तरं
अन्यस्मै
सञ्चयेत् दोषः ॥५॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
Vary Origin लेख्यं कैशे
अन्यथा एकस्य उत्तरं
अन्यस्मै
सञ्चयेत् दोषः ॥५॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| Vary | Vary |
| Origin | Origin |
| लेख्यम् | must be set |
| कैशे | in cache |
| एकस्य | of one |
| उत्तरम् | response |
| अन्यस्मै | for another |
| सञ्चयेत् | may cache |
| दोषः | fault |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| Vary Origin | cache key by origin |
| सञ्चयेत् दोषः | wrong cache share |
English sense
When ACAO varies by request Origin, send Vary: Origin so CDNs do not reuse one origin’s CORS headers for another.
Context / topic
Topic: CDN and CORS. Links to edge cache.
सन्धिः: सिमान्तसञ्चयः + CORS.
वृत्तमिति: एकादशाक्षराः पादाः।
श्लोकः ६ (अनुष्टुभ्)
प्रत्येकं सेवायां हिमं मा ॥६॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
API द्वारपाले नीतिरेका ।
प्रत्येकं सेवायां हिमं मा ॥६॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| API | API |
| द्वारपाले | at gateway |
| नीतिः | policy |
| एका | one |
| प्रत्येकम् | each |
| सेवायाम् | service |
| हिमम् | snowflake |
| मा | not |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| द्वारपाले | at gateway |
| हिमम् | snowflake policy |
English sense
Centralize CORS at the gateway or shared middleware so microservices do not invent conflicting rules.
Context / topic
Topic: gateway centralization.
वृत्तमिति: ८-८-८-८।
श्लोकः ७ (अनुष्टुभ्)
localhost prod मध्ये मा ॥७॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
local dev मूलानि allowlist पृथक् prod ।
localhost prod मध्ये मा ॥७॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| local | local |
| dev | dev |
| मूलानि | origins |
| allowlist | allow-list |
| पृथक् | separate |
| prod | prod |
| localhost | localhost |
| मध्ये | in the middle |
| मा | not |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| allowlist पृथक् | separate lists |
| localhost prod | localhost in prod |
English sense
Never ship localhost origins in production allow-lists. Keep env-specific config.
Context / topic
Topic: env separation.
वृत्तमिति: ८-८-८-८।
श्लोकः ८ (अनुष्टुभ्)
बिना तैः debug अन्धः ॥८॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
error उत्तरेष्वपि CORS शीर्षाणि ।
बिना तैः debug अन्धः ॥८॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| error | error |
| उत्तरेषु | on responses |
| अपि | also |
| CORS | CORS |
| शीर्षाणि | headers |
| बिना तैः | without them |
| debug | debug |
| अन्धः | blind |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| error उत्तरेषु | on error responses |
| debug अन्धः | blind debugging |
English sense
Apply CORS headers on 4xx/5xx too or browsers hide the real error body from the frontend.
Context / topic
Topic: errors need CORS too.
वृत्तमिति: ८-८-८-८।
श्लोकः ९ (अनुष्टुभ्)
केवलं ब्राउसर् धर्मः ॥९॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
mobile native CORS न बाधते ।
केवलं ब्राउसर् धर्मः ॥९॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| mobile | mobile |
| native | native |
| CORS | CORS |
| न बाधते | does not bind |
| केवलम् | only |
| ब्राउसर् | browser |
| धर्मः | law |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| mobile native | native apps |
| ब्राउसर् धर्मः | browser-only rule |
English sense
CORS is a browser rule not a server authz substitute. Native apps and curl ignore it; still enforce real authz.
Context / topic
Topic: CORS is not authz. Links to IAM.
वृत्तमिति: ८-८-८-८।
श्लोकः १० (उपजाति)
परक्षेत्रं तं नियमयति ।
उभौ विना
web ऐप विकलः ॥१०॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
सत्रधर्मः Cookie वहति
परक्षेत्रं तं नियमयति ।
उभौ विना
web ऐप विकलः ॥१०॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| सत्रधर्मः | session dharma |
| Cookie | Cookie |
| वहति | carries |
| परक्षेत्रम् | CORS |
| तम् | it |
| नियमयति | regulates |
| उभौ | both |
| विना | without |
| web | web |
| ऐप | app |
| विकलः | broken |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| सत्रधर्मः | sessions |
| परक्षेत्रम् | CORS |
English sense
Cookie sessions plus SPA frontends force careful CORS and CSRF together.
Context / topic
Topic: sessions + CORS.
सन्धिः: सत्रं वहति; CORS कः पठतु।
वृत्तमिति: एकादशाक्षराः पादाः।
श्लोकः ११ (अनुष्टुभ्)
एभिः परक्षेत्रनीतिर् ब्राउसर्सत्यसमन्विता ॥११॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
Origin सूची preflight credentials Vary द्वारं पञ्चकम् ।
एभिः परक्षेत्रनीतिर् ब्राउसर्सत्यसमन्विता ॥११॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| Origin | Origin |
| सूची | list |
| preflight | preflight |
| credentials | credentials |
| Vary | Vary |
| द्वारम् | gateway |
| पञ्चकम् | five-set |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| पञ्चकम् | origin preflight creds vary gateway |
English sense
Five limbs: strict origin allow-list, honest preflights, credential rules, Vary for caches and centralized policy.
Context / topic
Topic: checklist.
वृत्तमिति: ८-८-८-८।
श्लोकः १२ (अनुष्टुभ्)
मितं द्वारं क्रियायोग्यं तन्त्रधर्मः स उच्यते ॥१२॥
पदच्छेदः · Word-for-word · English (minimizable)
पदच्छेदः
इति परक्षेत्रनीतिसारो ब्राउसर्सत्यसमन्वितः ।
मितं द्वारं क्रियायोग्यं तन्त्रधर्मः स उच्यते ॥१२॥
Word-for-word
| संस्कृतपदम् | Word-for-word English |
|---|---|
| इति | thus |
| परक्षेत्रनीतिसारः | CORS essence |
| ब्राउसर्सत्यम् | browser truth |
| मितम् | measured |
| द्वारम् | door |
| क्रियायोग्यम् | operable |
| तन्त्रधर्मः | system dharma |
Gloss table
| पदम् | अर्थः / sense |
|---|---|
| मितं द्वारम् | measured door |
| तन्त्रधर्मः | platform dharma |
English sense
Closing: open only the origins you mean; never use CORS as your only security control.
Context / topic
Topic: close.
उपसंहारन्यायः: मूलं सूचीकुरु; * मा; अधिकारं पृथक् रक्ष।
वृत्तमिति: ८-८-८-८।
श्लोकसूची / Verse index
१. Why CORS
२. Allow-Origin
३. Preflight
४. Credentials
५. Vary/CDN
६. Gateway
७. Env lists
८. Errors
९. Not authz
१०. Sessions
११. Five limbs
१२. Close
सन्दर्भाः / References
- Prior: sessions 2026-09-30; edge cache 2026-10-02; gateway 2026-08-12; IAM 2026-07-21.
- Domain: browser CORS configuration.
- English minimizable; Sanskrit-first.
- Style: no em dash; no Oxford comma in English clauses.