Por que é enviado o método OPTIONS na solicitação HTTP antes de realizar solicitações GET/POST?

O método OPTIONS é utilizado para determinar os métodos disponíveis e outras opções parametrizadas para um recurso web ou servidor, sem exigir qualquer ação especial ou acesso ao recurso por parte da solicitação. É parte do mecanismo CORS (Cross-Origin Resource Sharing).

Quando uma página web tenta fazer uma solicitação a um recurso em outro domínio (requisição entre origens), o navegador pode enviar uma solicitação preliminar (preflight) com o método OPTIONS. Esta solicitação contém cabeçalhos como Access-Control-Request-Method e Access-Control-Request-Headers, que indicam qual método HTTP e quais cabeçalhos serão usados na solicitação real.

O servidor que recebe a solicitação OPTIONS pode responder com cabeçalhos como Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers e Access-Control-Max-Age, para informar ao navegador se a solicitação real é permitida e quais métodos/cabeçalhos são aceitáveis.

Se o servidor permitir a solicitação, o navegador prossegue para fazer a solicitação real (GET, POST, etc.). Caso contrário, a solicitação é bloqueada pelo navegador, protegendo assim o servidor de solicitações entre origens não autorizadas.

A solicitação OPTIONS não é enviada antes de cada solicitação GET/POST, mas apenas antes de certos tipos de solicitações entre origens que são consideradas "não simples" (non-simple). Solicitações simples (por exemplo, GET ou POST com tipos de conteúdo específicos e sem cabeçalhos personalizados) são enviadas sem uma solicitação OPTIONS preliminar.

# Exemplo de cabeçalhos de solicitação OPTIONS
# Access-Control-Request-Method: POST
# Access-Control-Request-Headers: Content-Type, Authorization
# Origin: http://client-domain.com

# Exemplo de cabeçalhos de resposta do servidor a OPTIONS
# Access-Control-Allow-Origin: http://client-domain.com
# Access-Control-Allow-Methods: POST, GET, OPTIONS
# Access-Control-Allow-Headers: Content-Type, Authorization
# Access-Control-Max-Age: 86400 # Cachear o resultado preflight por 24 horas

De modo geral, é um mecanismo de segurança para controlar o acesso a recursos em requisições entre origens, permitindo que o servidor determine antes de enviar a requisição principal se o navegador realizará ações permitidas.