Hiểu CORS và preflight: same-origin policy chặn gì, khi nào browser gửi OPTIONS, và cách fix lỗi bằng response header.