Почему fetch в браузере не может отправить Proxy-Authorization
Объясняет, почему код веб-страницы не может обеспечить вход в прокси браузера, задав запрещённый заголовок запроса.
Proxy-Authorization — запрещённый заголовок запроса для обычных браузерных скриптов. Имена, начинающиеся с Proxy-, зарезервированы, поэтому вызов AJAX или fetch не может использовать этот заголовок как управляемый приложением механизм входа в прокси.
Изменение заголовков ответа CORS не даёт разрешения задавать управляемый браузером заголовок запроса. Точно так же перенос значения в другой пользовательский заголовок не учит браузер аутентифицироваться в своём исходящем прокси.
Настройка прокси браузера и поддерживаемый поток аутентификации выполняют этот вход. Если запрос делает приложение на стороне сервера, у его собственного HTTP-клиента есть параметры прокси; ограничения заголовков браузера и API серверного клиента — это разные интерфейсы.
Держите пароль прокси вне JavaScript веб-страницы. Даже если пользовательская конечная точка приложения принимает такое значение, оно стало данными приложения, видимыми этому клиенту, а не привилегированной сетевой настройкой браузера.