Похоже, что CORS передают привет.
Access-Control-Allow-Origin
Access-Control-Allow-Headers
Access-Control-Allow-Authorization
Гуглим...
А ещё некоторые хедеры могут быть схаваны фреймворком, а реквест такая штука, чтобы не копироваться очень любит переноситься из одного места (места, где пхп его парсит) в некий объект или класс фреймворка, исчезая оттуда, где был.
ps. корсы проще всего тестировать в Firefox.