CORS Preflight
Zusätzlicher OPTIONS-Request, den der Browser vor "nicht-einfachen" Cross-Origin-Aufrufen schickt, um den Server zu fragen, ob die Operation erlaubt ist. Auslöser: Custom-Header, Methoden jenseits von GET/POST/HEAD, Content-Type jenseits von form-encoded.
Ablauf: 1) Browser → OPTIONS mit Access-Control-Request-Method + Headers, 2) Server antwortet mit Access-Control-Allow-Origin + Allow-Methods + Allow-Headers (+ Max-Age fürs Caching), 3) der eigentliche Request geht durch. Performance-Kosten: das Preflight kostet einen zusätzlichen Round-Trip. Abhilfe: Caching über Access-Control-Max-Age (Standard 5 s in Chrome, 24 h in Firefox). Häufige Falle: der Server liefert keinen OPTIONS-Handler → Preflight schlägt fehl → CORS-Fehler ohne klaren Hinweis, warum. fetch-Fehlermeldungen sind vage, der Network-Tab der DevTools zeigt den fehlgeschlagenen OPTIONS-Request.