Причина

Reason: missing token 'xyz' in CORS header 'Access-Control-Allow-Headers' from CORS preflight channel

Что пошло не так?

Заголовок Access-Control-Allow-Headers отправляется сервером, чтобы сообщить клиенту, какие заголовки поддерживаются для запросов CORS. Значение Access-Control-Allow-Headers должно представлять собой список имён заголовков, разделённых запятыми, например X-Custom-Information, либо содержать имена стандартных, но не базовых заголовков (которые всегда разрешены).

Эта ошибка возникает при попытке выполнить предварительную проверку заголовка, который явно не разрешён (то есть он не включён в список, указанный в заголовке Access-Control-Allow-Headers, отправленном сервером). Чтобы исправить это, необходимо обновить сервер, разрешив указанный заголовок, или не использовать его.

Если сервер вам не подконтролен, ознакомьтесь с разделом Рекомендации для клиентской стороны, где описаны альтернативные подходы.

См. также

• Ошибки CORS
• Глоссарий: CORS
• Введение в CORS
• Заголовки HTTP