[cors] Only allow GET