O retorno 204 é pura convenção, o código significa uma resposta de sucesso sem nenhum conteúdo (corpo).
A requisição OPTIONS
em si é uma requisição "especial" feita pelo browser quando você requisita recursos de outro domínio (cross-domain). Serve para checar se você está apto a fazer esta requisição para um outro domínio.
Ela envia os headers Access-Control-Request-Method
, Access-Control-Request-Headers
e Origin
.
Se o servidor aceitar a requisição, o browser vai receber uma resposta contendo o os headers (prefixados com Access-Control-*
) que definem o que está disponível para determinado endpoint.
O nome disso é preflight request.
Você pode ver mais detalhes na MDN.
No seu exemplo, está sendo disparada uma requisição com o header Access-Control-Request-Headers
definido como Authorization
e Access-Control-Request-Method
definido como GET
.
O servidor respondeu dizendo que está tudo certo (204) e que você pode enviar o cabeçalho Authorization
que ele será aceito e interpretado, além disso, existe o header Access-Control-Allow-Origin
que define que este endpoint pode ser chamado por qualquer origem.