если тебе нужен проект и на мобилке и в браузере без различий, то тут только собственный бэкенд. Если можешь разделить на два проекта, то для веба переделать все на fetch
ну ситуация, такая: для простых запросов XMLHttpRequest сервер все равно должен возвращать заголовок Access-Control-Allow-Origin, хотя бы с *. Только через fetch можно выполнить простой запрос, не требующий Access-Control-Allow-Origin^ типа: fetch(url, {mode: 'no-cors'})