Varför fetch i webbläsaren inte kan skicka Proxy-Authorization
Förklarar varför kod på en webbsida inte kan tillhandahålla inloggning till webbläsarens proxy genom att sätta en förbjuden begärandehuvud.
Proxy-Authorization är ett förbjudet begärandehuvud för vanliga webbläsarskript. Namn som börjar med Proxy- är reserverade, så ett AJAX- eller fetch-anrop kan inte använda det huvudet som en applikationsstyrd mekanism för proxyinloggning.
Att ändra CORS-svarshuvuden ger inte tillstånd att sätta ett webbläsarstyrt begärandehuvud. På samma sätt lär det inte webbläsaren att autentisera sig mot sin utgående proxy att värdet flyttas till ett annat anpassat huvud.
Proxykonfigurationen i webbläsaren och det stödda autentiseringsflödet hanterar den inloggningen. Om en serverapplikation gör begäran i stället har dess egen HTTP-klient proxyalternativ; begränsningar i webbläsarens huvuden och serverklientens API:er är separata gränssnitt.
Håll proxylösenordet utanför webbsidans JavaScript. Även om en anpassad applikationsändpunkt accepterar ett sådant värde har det blivit applikationsdata som är synlig för den klienten, inte en privilegierad nätverksinställning i webbläsaren.