OPTIONS는 통신 옵션을 묻고 작업 권한을 주지는 않습니다
서버가 DELETE를 지원한다고 알려 주어도 현재 계정이 특정 자원을 삭제할 수 있다는 뜻은 아닙니다. OPTIONS는 URL이나 서버가 허용하는 통신 옵션을 확인하는 메서드입니다. 메서드 지원, 브라우저의 교차 출처 허용, 실제 사용자의 인증·권한은 서로 다른 판단이므로 각각 확인해야 합니다. 근거: MDN OPTIONS, 2026-11-04.
근거: MDN OPTIONS 요청 메서드 · 2026-11-04 확인
문서 목록과 사용자 권한을 예제로 나눕니다
가상의 문서 API가 GET·PATCH·DELETE를 지원한다고 합시다. 읽기 전용 사용자는 GET만 허가되고 관리자는 일부 문서를 수정할 수 있는 식으로 자원별 정책이 다를 수 있습니다. Allow에 DELETE가 보였다는 관찰만으로 삭제를 시도하지 않습니다. 지원 범위를 파악하는 시험과 사용자별 권한 시험은 사전에 허가한 대상·계정을 정해 따로 진행합니다.
근거: MDN OPTIONS 요청 메서드 · 2026-11-04 확인
일반 OPTIONS와 브라우저 사전 요청을 구별합니다
일반 OPTIONS는 통신 옵션을 묻습니다. 브라우저가 일부 교차 출처 요청 전에 보내는 사전 요청은 Origin과 Access-Control-Request-Method 같은 헤더로 본 요청의 조건을 알립니다. 따라서 단순 OPTIONS 한 번의 성공만으로 실제 페이지의 교차 출처 호출도 성공한다고 보장할 수 없습니다. 브라우저가 사용한 조건과 응답을 함께 보아야 합니다.
근거: MDN OPTIONS 요청 메서드 · 2026-11-04 확인
개발자 도구에서 먼저 본 요청이 나갔는지 확인합니다
자신의 허가된 시험 페이지에서 Network를 열고 기능을 한 번 실행합니다. OPTIONS가 보이면 요청의 출처·예정 메서드·추가 헤더와 응답의 CORS 관련 헤더를 기록합니다. 다음으로 본 요청이 실제 전송됐는지 봅니다. 사전 요청에서 멈춘 것과 본 요청이 401·403을 반환한 것은 원인이 다를 수 있습니다. 응답 본문이나 토큰은 공유 자료에서 제거합니다.
성공 기준을 두 단계로 정합니다
브라우저 통신 확인은 필요한 사전 조건을 통과하고 본 요청의 응답을 코드에서 읽을 수 있는지 봅니다. 업무 권한 확인은 그 계정에 허용된 실제 작업만 성공하고 금지된 작업은 서버가 거부하는지 봅니다. 사전 요청이 통과했다고 후자의 검증까지 끝난 것은 아닙니다. 이 글은 점검 순서만 제시하며 어느 서비스에서 성공했다는 실행 결과를 만들지 않습니다.
실패하면 무작정 전체 허용으로 바꾸지 않습니다
사전 요청 실패라면 정확한 출처와 예정 메서드·헤더를 서비스 문서 및 허용 정책과 대조합니다. 본 요청의 인증·권한 실패라면 해당 자원의 계정 권한을 확인합니다. 단지 오류를 없애려고 모든 출처나 모든 메서드를 열기보다 의도한 이용 경로를 명확히 해 담당자에게 요청·응답 기록을 전달합니다.
원문으로 이어 읽기
확인일: 2026-11-04. 정의와 적용 범위, 발행일과 판본을 함께 살펴봅니다. 원문이 존재한다는 사실만으로 개별 주장의 정확성과 재사용 권리가 자동 보장되지는 않습니다.