При каких случаях отправляется preflight (OPTIONS) запрос?

Preflight (OPTIONS) запрос отправляется браузером автоматически перед основным CORS-запросом в следующих случаях:

• Когда HTTP-метод отличается от простых (GET, POST, HEAD), например, PUT, DELETE, PATCH.
• Если используются нестандартные заголовки (например, Authorization, Content-Type с типом, отличным от application/x-www-form-urlencoded, multipart/form-data или text/plain).
• Если Content-Type не является одним из простых типов (application/x-www-form-urlencoded, multipart/form-data, text/plain).

Цель preflight-запроса — проверить у сервера, разрешает ли он кросс-доменные запросы с такими методами и заголовками. Сервер должен ответить с нужными CORS-заголовками, например, Access-Control-Allow-Methods и Access-Control-Allow-Headers.

Пример: если фронтенд пытается отправить запрос с методом PUT и заголовком Authorization, браузер сначала отправит OPTIONS-запрос, чтобы убедиться, что сервер разрешает такой запрос.

Это механизм безопасности, чтобы предотвратить нежелательные запросы с других доменов.