Чому fetch у браузері не може надіслати Proxy-Authorization
Пояснює, чому код веб-сторінки не може забезпечити вхід у проксі браузера, задавши заборонений заголовок запиту.
Proxy-Authorization — заборонений заголовок запиту для звичайних браузерних скриптів. Імена, що починаються з Proxy-, зарезервовані, тому виклик AJAX або fetch не може використовувати цей заголовок як керований застосунком механізм входу в проксі.
Зміна заголовків відповіді CORS не дає дозволу задавати керований браузером заголовок запиту. Так само перенесення значення в інший користувацький заголовок не вчить браузер автентифікуватися у своєму вихідному проксі.
Налаштування проксі браузера й підтримуваний поток автентифікації виконують цей вхід. Якщо запит виконує застосунок на боці сервера, його власний HTTP-клієнт має параметри проксі; обмеження заголовків браузера та API серверного клієнта — це різні інтерфейси.
Тримайте пароль проксі поза JavaScript веб-сторінки. Навіть якщо користувацька кінцева точка застосунку приймає таке значення, воно стало даними застосунку, видимими цьому клієнту, а не привілейованим мережевим налаштуванням браузера.