OPTIONS
O Método OPTIONS
é um método HTTP
, que é utilizado para descobrir quais as opções de requisições permitidas para determinados recursos para um servidor, por isso essa requisição é feita antes das outras, para descobrir permissões que você aceita.
Nessa requisição, o servidor retorna uma lista de cabeçalhos, contendo alguns dados, mas também pode retornar um erro, caso não tenha nenhuma requisição para os recursos.
Esse envio pode ser feito de duas formas, a primeira é especificando uma URL
na requisição, para uma análise específica:
OPTIONS /index.html HTTP/1.1
A outra forma é indicar com asterisco (*), que refere-se ao recursos como um todo:
OPTIONS * HTTP/1.1
Essa requisição é feita inicialmente para descobrir as permissões oferecidas para os recursos, para assim poder utilizar as outras requisições sem retornar erro.
Para uma simples requisição, é possível utilizar o CURL
, para enviar essa requisição de confirmação, por exemplo:
curl -X OPTIONS http://index.html -i
Nessa requisição, por padrão, se existir campos permitidos, o servidor irá retornar um cabeçalho do tipo Allow
, que indica quais métodos você aceita e tem permissão de requisição, mas retornando os dados somente como uma informação:
HTTP/1.1 200 OK
Allow: OPTIONS, GET, HEAD, POST
Cache-Control: max-age=604800
Date: Thu, 13 Oct 2016 11:45:00 GMT
Expires: Thu, 20 Oct 2016 11:45:00 GMT
Server: EOS (lax004/2813)
x-ec-custom-error: 1
Content-Length: 0
Caso não tiver requisições permitidas, o servidor irá retornar um cabeçalho vazio, que pode ocorrer temporariamente para algum recurso.
As informações do OPTIONS
, são feitas somente nessa requisição, para informar quais métodos você aceita fazer. Não é utilizada para confirmação de envio.
CORS
É uma especificação utilizada para definir trocas de recursos entre browser e servidor, de forma segura, não permitindo que scripts façam solicitações de origem cruzada.
Uma requisição, feita com CORS
, é utilizada para saber se o servidor permite um tipo de requisição específica, informando os parâmetros para serem analisados, ou seja, é feita uma verificação de permissão "customizada" para o servidor.
Aqui, tem uma lista de cabeçalhos CORS
que podem ser utilizados
em uma requisição.
Um exemplo, é criada uma requisição, para saber se uma requisição específica que utiliza POST
e tem cabeçalhos customizados é aceita. Utiliza-se os cabeçalhos Access-Control-Request-Method
, para o POST
e o Access-Control-Request-Headers
, para os cabeçalhos customizados:
OPTIONS /resources/post-here/ HTTP/1.1
Host: bar.other
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Connection: keep-alive
Origin: http://foo.example
Access-Control-Request-Method: POST
Access-Control-Request-Headers: X-PINGOTHER, Content-Type
A partir dessa requisição "customizada", o servidor analisa e se permitir, retornará com os cabeçalhos, informando se os cabeçalhos dos campos específicos informados, podem ser solicitados. Essa resposta é parecida com uma resposta Allow
.
HTTP/1.1 200 OK
Date: Mon, 01 Dec 2008 01:15:39 GMT
Server: Apache/2.0.61 (Unix)
Access-Control-Allow-Origin: http://foo.example
Access-Control-Allow-Methods: POST, GET, OPTIONS
Access-Control-Allow-Headers: X-PINGOTHER, Content-Type
Access-Control-Max-Age: 86400
Vary: Accept-Encoding, Origin
Content-Encoding: gzip
Content-Length: 0
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: text/plain
O mecanismo CORS
, suporta solicitações seguras de origem cruzada, que são as solicitações com origem (domínio, protocolo e porta) diferente da sua própria origem. Com isso, a requisição passam pela autenticação feita pelo servidor e retorna o resultado, para a partir disso solicitar uma requisição cruzada.
Em uma requisição com CORS
, o navegador faz uma requisição, onde é passado cabeçalhos específicos, por exemplo, um cabeçalho Access-Control-Request-Method
, que vai solicitar métodos que são permitidos e o servidor irá responder com Access-Control-Allow-Methods
, ou seja, o navegador solicita uma confirmação, o servidor responde com um cabeçalho, informando o que é permitido e com o retorno, o navegador verifica os dados retornados, se compatível, o navegador irá liberar a solicitação cruzada, entre domínios diferentes.
Compatibilidade
Todos os navegadores tem suporte básico a esse tipo de requisição, tanto navegadores mobile, quanto para desktop:

Mais Leitura