La richiesta preflight dovrebbe essere la richiesta OPTIONS che probabilmente non funziona perchè tu autorizzi solo POST quindi io proverei così:

codice:
header("Access-Control-Allow-Methods: POST, OPTIONS");