Perché fetch del browser non può inviare Proxy-Authorization
Spiega perché il codice di una pagina web non può fornire un login proxy del browser impostando un'intestazione di richiesta vietata.
Proxy-Authorization è un'intestazione di richiesta vietata per gli script ordinari del browser. I nomi che iniziano con Proxy- sono riservati, quindi una chiamata AJAX o fetch non può usare quell'intestazione come meccanismo di login proxy controllato dall'applicazione.
Modificare le intestazioni di risposta CORS non concede il permesso di impostare un'intestazione di richiesta controllata dal browser. Allo stesso modo, spostare il valore in un'altra intestazione personalizzata non insegna al browser ad autenticarsi con il proprio proxy in uscita.
La configurazione del proxy del browser e il flusso di autenticazione supportato gestiscono quel login. Se invece la richiesta è effettuata da un'applicazione lato server, il suo client HTTP ha opzioni proxy; le restrizioni sulle intestazioni del browser e le API del client server sono interfacce separate.
Tenete la password del proxy fuori dal JavaScript della pagina web. Anche se un endpoint personalizzato dell'applicazione accetta un valore del genere, è diventato un dato dell'applicazione visibile a quel client, non un'impostazione di rete privilegiata del browser.