CORS配置错误与OPTIONS预检请求：能否绕过预检直接发起GET请求？

首先明确：没法绕过浏览器的OPTIONS预检请求，这是浏览器内置的CORS安全机制，完全由浏览器控制，前端代码没有任何手段能跳过这一步。

你之所以觉得自己的GET请求应该是"简单请求"却触发了预检，核心原因是：你的请求带了凭证（withCredentials: true）——CORS规则里，带凭证的跨域请求哪怕是GET方法、没有自定义头，也不属于"简单请求"范畴，浏览器必须先发送OPTIONS预检，确认服务器允许带凭证的跨域请求后，才会发起实际的GET请求。

现在的问题根源不在前端，而是服务器的OPTIONS响应不完整：

• 必须在OPTIONS预检响应中同时返回Access-Control-Allow-Credentials: true，和Access-Control-Allow-Origin（不能是*，必须是请求里的具体Origin，你已经在做反射了，这点没问题）
• 另外可以给OPTIONS响应设置Access-Control-Max-Age，减少重复预检的次数，但这不是强制要求

给你两个关键调试点：

1. 检查服务器的OPTIONS请求处理逻辑，把Access-Control-Allow-Credentials: true加上，和主GET请求的响应保持一致
2. 确认你的请求确实没有额外的自定义头——比如有没有框架自动加了X-Requested-With这类头？如果有的话，也会触发预检，需要在OPTIONS响应的Access-Control-Allow-Headers里包含这些头

最后再强调一遍：不要想着绕预检，浏览器的安全规则是硬限制，解决问题的唯一正确路径是修复服务器的OPTIONS响应。

内容的提问来源于stack exchange，提问作者Aiden Pearce