Hvorfor fetch i browseren ikke kan sende Proxy-Authorization
Forklarer, hvorfor kode på en webside ikke kan levere et proxy-login i browseren ved at sætte en forbudt anmodningsheader.
Proxy-Authorization er en forbudt anmodningsheader for almindelige browserscripts. Navne, der begynder med Proxy-, er reserverede, så et AJAX- eller fetch-kald kan ikke bruge den header som en applikationsstyret mekanisme til proxy-login.
At ændre CORS-svarheadere giver ikke tilladelse til at sætte en browserstyret anmodningsheader. På samme måde lærer det ikke browseren at godkende sig over for sin udgående proxy, at flytte værdien til en anden brugerdefineret header.
Browserens proxykonfiguration og den understøttede godkendelsesstrøm håndterer det login. Hvis en serversideapplikation i stedet udfører anmodningen, har dens egen HTTP-klient proxyindstillinger; begrænsninger i browserheadere og serverklientens API'er er adskilte grænseflader.
Hold proxyadgangskoden ude af websidens JavaScript. Selv hvis et brugerdefineret applikationsendepunkt accepterer en sådan værdi, er den blevet applikationsdata, som den klient kan se, i stedet for en privilegeret netværksindstilling i browseren.