А вот тут похоже немного интереснее. Дело в том, что браузер не всегда отправляет options Вот тут https://developer.mozilla.org/ru/docs/Web/HTTP/CORS (простые запросы) описано, когда этого не происходит По-моему эта мидлварь либо совсем не умеет подмешивать заголовки в простые запросы, либо там что-то надо настроить