Причина

Reason: invalid token 'xyz' in CORS header 'Access-Control-Allow-Headers'

Что пошло не так?

Ответ на запрос CORS, отправленный сервером, содержит заголовок Access-Control-Allow-Headers, который включает как минимум одно недопустимое имя заголовка.

Заголовок Access-Control-Allow-Headers отправляется сервером в ответ на предварительный запрос; он сообщает клиенту, какие заголовки HTTP разрешены в запросах CORS. Если пользовательский агент клиента обнаруживает среди значений заголовка, разделённых запятыми, имя заголовка, которое ему неизвестно, возникает эта ошибка.

Скорее всего, эту проблему можно исправить только на стороне сервера, изменив его конфигурацию так, чтобы он больше не отправлял недопустимое или неизвестное имя заголовка в заголовке Access-Control-Allow-Headers. Также стоит убедиться, что используемый вами на клиенте пользовательский агент или библиотека HTTP обновлены.

См. также

• Ошибки CORS
• Глоссарий: CORS
• Введение в CORS
• Заголовки HTTP