CORS preflight
Extra OPTIONS-request browser skickar före "icke-simpla" cross-origin-anrop för att fråga server om operationen är tillåten. Trigger: custom-headers, methods utöver GET/POST/HEAD, Content-Type utöver form-encoded.
Flöde: 1) browser → OPTIONS med Access-Control-Request-Method + Headers, 2) server svar Access-Control-Allow-Origin + Allow-Methods + Allow-Headers (+ Max-Age för caching), 3) actual request går igenom. Performance-hit: preflight kostar 1 round-trip. Mitigation: cache via Access-Control-Max-Age (default 5s i Chrome, 24h i Firefox). Vanlig fallgrop: server returnerar inte OPTIONS-handler → preflight failar → CORS-fel utan tydlig signal varför. fetch error-messages är vaga, devtools network-tab visar OPTIONS-failet.