Следующий клиентский и серверный загрузочный код

То, что вы видели в Firefox, не было фактическим запросом; обратите внимание, что HTTP-метод - OPTIONS, а не POST. Фактически это был «предполетный» запрос, который браузер делает, чтобы определить, разрешен ли междоменный запрос AJAX:

http://www.w3.org/TR/cors /

Заголовок заголовка Access-Control-Request-Headers в предполетном запросе включает список заголовков в фактическом запросе. Затем ожидается, что сервер сообщит, поддерживаются ли эти заголовки в этом контексте или нет, прежде чем браузер отправит фактический запрос.