我花了一些时间对预检请求的目的感到困惑，但我想我现在明白了。

关键的见解是预检请求不是 安全 问题。相反，它们是 不改变规则 的东西。

预检请求与安全无关，它们与现在正在开发的应用程序无关，具有 CORS 意识。相反，预检机制有益于在 没有 意识到 CORS
的情况下开发的服务器，并且它充当客户端和服务器之间的健全性检查，它们都支持 CORS。CORS
的开发人员认为那里有足够多的服务器依赖于他们永远不会收到的假设，例如，他们发明了预检机制以允许双方选择加入的跨域删除请求。他们认为，如果只是简单地启用跨域调用，就会破坏太多现有的应用程序。

这里有三种情况：

1. 旧服务器，不再在开发中，在 CORS 之前开发。这些服务器可能会假设它们永远不会收到例如跨域删除请求。 这种情况是预检机制的主要受益者。 是的，这些服务可能已经被恶意或不合格的用户代理滥用（而 CORS 没有改变这一点），但在使用 CORS 的世界中，预检机制提供了额外的“健全性检查”，因此客户端和服务器不会打破，因为网络的基本规则已经改变。

2. 仍在开发中但包含大量旧代码的服务器，并且不可行/不希望审核所有旧代码以确保其在跨域世界中正常工作。这种情况允许服务器逐步选择加入 CORS，例如说“现在我将允许这个特定的标头”、“现在我将允许这个特定的 HTTP 动词”、“现在我将允许 cookie/auth 信息发送”等。 这种情况得益于预检机制。

3. 以 CORS 意识编写的新服务器。根据标准安全实践，服务器必须在面对 任何 传入请求时保护其资源——服务器不能相信客户端不会做恶意事情。 这种情况不会从预检机制中受益 ：预检机制不会为已正确保护其资源的服务器带来额外的安全性。