ブラウザの fetch が Proxy-Authorization を送信できない理由

Proxy-Authorization は通常のブラウザスクリプトにとって禁止されたリクエストヘッダーです。Proxy- で始まる名前は予約されているため、AJAX や fetch の呼び出しは、このヘッダーをアプリケーションが制御するプロキシログインの仕組みとして使えません。

CORS のレスポンスヘッダーを変更しても、ブラウザが制御するリクエストヘッダーを設定する許可は得られません。同様に、値を別のカスタムヘッダーに移しても、ブラウザが外向きのプロキシに対して認証するようになるわけではありません。

ブラウザの プロキシ設定 とサポートされている認証フローが、そのログインを処理します。代わりにサーバー側アプリケーションがリクエストを行う場合、その独自の HTTP クライアントにプロキシオプションがあります。ブラウザのヘッダー制限とサーバークライアントの API は別々のインターフェースです。

プロキシのパスワードは Web ページの JavaScript の外に置いてください。カスタムのアプリケーションエンドポイントがそのような値を受け取ったとしても、それはブラウザの特権的なネットワーク設定ではなく、そのクライアントから見えるアプリケーションデータになっています。