设置后跨域请求的授权标头是否总是需要预飞行?

是的,只要你加上 Authorization 请求的头,它会在浏览器中触发预飞行。那是因为 授权 未定义为 CORS safelisted request-header

CORS safelist请求头的列表非常短;这是公正的 Accept , Accept-Language , Content-Language , Content-Type , DPR , Downlink , Save-Data Viewport-Width , Width

任何添加到请求的头文件不在该列表中,都会触发浏览器进行预处理。

看到了吗 https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#Preflighted_requests