ब्राउज़र हमारी कुछ API कॉल्स से पहले OPTIONS request क्यों भेजता है, और उसे फेल होने से कैसे रोकते हैं?

वह OPTIONS कॉल CORS की preflight है। ब्राउज़र इसे तब भेजते हैं जब कोई cross origin request सादी नहीं होती, जिसमें कोई भी custom header, JSON content type, या GET, HEAD और POST से अलग कोई method शामिल है। आपके सर्वर को उस OPTIONS का जवाब ऐसे Access-Control-Allow-Origin, Allow-Methods और Allow-Headers के साथ देना होगा जो असली request को सच में कवर करें, और cookies शामिल हों तो Allow-Credentials तथा एक ठोस origin भी।

preflight असल में ब्राउज़र का वह सवाल है जो वह असर डालने वाली कोई चीज़ भेजने से पहले इजाज़त के लिए पूछता है। बिना किसी custom header वाली सादी GET सादी request है और सीधे चली जाती है, पर जिस पल आप Authorization header जोड़ते हैं या application/json भेजते हैं, पहले OPTIONS आ जाती है। जब वह फेल हो तो मैं तीन चीज़ें क्रम से जांचता हूं: सर्वर OPTIONS का जवाब देता भी है या नहीं, Access-Control-Allow-Headers में असली request के भेजे हर header का नाम है या नहीं, और origin बिल्कुल वैसा ही लौटाया जा रहा है या नहीं, scheme और port समेत। credentials वाला मामला लोगों को फंसा देता है, क्योंकि अगर आप cookies भेजते हैं तो wildcard origin इस्तेमाल नहीं कर सकते; आपको एक खास allowed origin लौटाना होगा और Access-Control-Allow-Credentials को true करना होगा। मैं Access-Control-Max-Age भी सेट करता हूं ताकि ब्राउज़र हर एक कॉल पर preflight करना बंद कर दे। जो बात मैं टीम को समझाकर छोड़ता हूं वह यह कि इनमें से कुछ भी API की हिफाज़त नहीं करता। जो ब्राउज़र नहीं है वह CORS को पूरी तरह अनदेखा करता है, तो authorization तो सर्वर पर ही लागू करनी होगी।