为什么浏览器 fetch 无法发送 Proxy-Authorization
说明网页代码为何无法通过设置被禁止的请求头来提供浏览器代理登录。
Proxy-Authorization 对普通浏览器脚本而言是被禁止的请求头。以 Proxy- 开头的名称属于保留范围，因此 AJAX 或 fetch 调用不能把该请求头当作由应用控制的代理登录机制。
修改 CORS 响应头并不会授予设置浏览器受控请求头的权限。同样，把值挪到另一个自定义请求头里，也不会让浏览器学会向它的出站代理进行认证。
浏览器的代理配置和受支持的认证流程负责这次登录。如果改由服务端应用发起请求，它自己的 HTTP 客户端拥有代理选项；浏览器请求头限制与服务端客户端 API 是彼此独立的接口。
把代理密码留在网页 JavaScript 之外。即便自定义的应用端点接受这样的值，它也已经变成对该客户端可见的应用数据，而不是浏览器中具有特权的网络设置。