Entrega 3 - Respostas Tecnicas (RA 2026108485)

QUESTAO A - Fronteira de bloqueio e efeitos colaterais
Na Entrega 1 o servidor recebeu o GET, executou o codigo e respondeu 200 OK; o navegador apenas impediu o JavaScript do cliente de LER a resposta. Ou seja, CORS/SOP protege a leitura da resposta, nao a execucao da requisicao no servidor. Se uma rota mal projetada alterar registros no banco via requisicao simples (GET ou POST de formulario), a alteracao acontece mesmo com o bloqueio. Por isso CORS nao substitui autenticacao de sessao nem protecao contra CSRF (token anti-CSRF, SameSite, validacao de origem).

QUESTAO B - Razao historica do preflight (OPTIONS)
O preflight pergunta ao servidor, antes de enviar, se ele aceita metodos como DELETE/PUT ou cabecalhos customizados vindos de outra origem, pois isso nunca foi possivel entre origens antes do CORS. Requisicoes GET/POST de <form> classico dispensam o preflight porque ja eram possiveis desde antes do CORS; exigi-lo quebraria a web existente. Sem o preflight, servidores legados (anteriores ao CORS), que nunca esperaram receber esses metodos/cabecalhos de outros sites, ficariam expostos a acoes que nao foram projetados para tratar, como um site malicioso disparando DELETE contra eles.
