¿Por qué se envía el método OPTIONS en una solicitud HTTP antes de realizar solicitudes GET/POST?

El método OPTIONS se utiliza para determinar los métodos disponibles y otras opciones parametrizadas para un recurso web o servidor, sin requerir ninguna acción especial o acceso al recurso por parte de la solicitud. Es parte del mecanismo CORS (Cross-Origin Resource Sharing).

Cuando una página web intenta hacer una solicitud a un recurso en otro dominio (solicitud entre orígenes), el navegador puede enviar una solicitud preliminar (preflight) con el método OPTIONS. Esta solicitud contiene encabezados como Access-Control-Request-Method y Access-Control-Request-Headers, que indican qué método HTTP y qué encabezados se usarán en la solicitud real.

El servidor que recibe la solicitud OPTIONS puede responder con encabezados como Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers y Access-Control-Max-Age, para informar al navegador si la solicitud real está permitida y qué métodos/encabezados son aceptables.

Si el servidor permite la solicitud, el navegador procede a realizar la solicitud real (GET, POST, etc.). Si no, la solicitud es bloqueada por el navegador, y la solicitud real no se envía, protegiendo así al servidor de solicitudes entre orígenes no autorizadas.

La solicitud OPTIONS no se envía antes de cada solicitud GET/POST, sino solo antes de ciertos tipos de solicitudes entre orígenes que se consideran "no simples" (non-simple). Las solicitudes simples (por ejemplo, GET o POST con tipos de contenido específicos y sin encabezados personalizados) se envían sin una solicitud OPTIONS preliminar.

# Ejemplo de encabezados de solicitud OPTIONS
# Access-Control-Request-Method: POST
# Access-Control-Request-Headers: Content-Type, Authorization
# Origin: http://client-domain.com

# Ejemplo de encabezados de respuesta del servidor a OPTIONS
# Access-Control-Allow-Origin: http://client-domain.com
# Access-Control-Allow-Methods: POST, GET, OPTIONS
# Access-Control-Allow-Headers: Content-Type, Authorization
# Access-Control-Max-Age: 86400 # Cachear el resultado preflight por 24 horas

En general, es un mecanismo de seguridad para controlar el acceso a recursos en solicitudes entre orígenes, permitiendo que el servidor determine antes de enviar la solicitud principal si el navegador realizará acciones permitidas.