requiring CORS for browser xhr