Cors request with Preflight and redirect: disallowed. Obejścia?

Projektuję API, które pozwala użytkownikowi na uwierzytelnianie (za pomocą tokenów) i które zawiera przekierowania w tej samej domenie. Teraz, dla nieautoryzowanego żądania do punktu końcowego, który zwraca 303,

GET /documents/123  --> 303 redirect to `/documents/abc`
GET /documents/abc  --> 200

Wszystko ładnie się układa.

Wykonajmy uwierzytelnione żądanie do tego samego punktu końcowego, do którego wysyłany jest nagłówek Authorization. To sprawia, że żądanie jest preflighted request, a przeglądarka wykonuje preflight OPTIONS request, czyli

OPTIONS /documents/123   --> 204 (everything okay, please proceed)
GET /documents/123       --> 303 redirect to `/documents/abc`

W tym momencie, zamiast z GETting rzeczywistego zasobu w /documents/abc, przeglądarka daje

XMLHttpRequest cannot load http://localhost:8000/people/username/nschloe. 
The request was redirected to 'http://localhost:8000/people/YDHa-B2FhMie', 
which is disallowed for cross-origin requests that require preflight.

To zachowanie jest zgodne z standardem :

7.1.5 zapytanie krzyżowe z inspekcją wstępną

Jeśli odpowiedź ma kod statusu HTTP, który nie znajduje się w zakresie 2xx

Zastosuj kroki błędu sieci.

Wydaje się to oznaczać, że jeden nie może robić przekierowań dla uwierzytelnionych zasobów, nawet jeśli przekierowanie znajduje się w tej samej domenie (localhost).