Почему JQuery формирует такой запрос?
OPTIONS всегда делается перед запросом к серверу, это вопрос "эй сервер, ты примешь post-запрос от меня или нет?"
https://developer.mozilla.org/ru/docs/Web/HTTP/Met...
https://developer.mozilla.org/en-US/docs/Glossary/...Если запрос может оказать влияние на пользовательские данные, то простого запроса недостаточно. Вместо этого, предполентый CORS запрос отправляется в перед отправкой необходимого запроса, чтобы гарантировать безопасность отправки запроса. Предполетные запросы необходимы в тех случаях, когда любой HTTP метод, отличный от GET, POST, HEAD или если тип содержимого POST запроса отличен от application/x-www-form-urlencoded, multipart/form-data или text/plain. Также, если запрос содержит любые собственные заголовки, то необходим предполетный запрос.
https://spring-projects.ru/understanding/cors/
Решение было найдено, пусть и костыльное (хотя со стороны бэка весь js это один костыль)
Код остался таким же, только убрано изменение headers:function ajax() {
        let ESIAFindAccount = {
            "url": "http://192.168.88.3:9090/API/V0.1/schedule_query/ESIAFindAccount/",
            "data": {
                "RoutingCode": "TESIA",
                "SnilsOperator": "135-419-238 52",
                "ra": "1000321282",
                "lastName": "Тестов",
                "firstName": "Тест",
                "middleName": "Тестович",
                "doc": {
                    "type": "RF_PASSPORT",
                    "series": "1111",
                    "number": "111111"
                },
                "mobile": "+7(920)4021351",
                "snils": "229-785-346 20"
            },
        };

        $.ajax({
            method: 'POST',
            url: ESIAFindAccount.url,
            data: JSON.stringify(ESIAFindAccount.data),
            success: function (data) {
                console.log(data);
            }
        });
    }
Потому что, как оказалось, через js можно отправить POST запрос, но только если не изменять headers. Если что-нибудь добавить в headers - метод запроса сразу изменяется на OPTIONS
Плюс, на беке отключили требование к X-Auth-Token. Для разовой презентации, после которой этот код использоваться не будет - пойдет.