Вообще-то Authorization
и no-cors
— вещи взаимоисключающие. Вы сами запретили передавать логины-пароли, вот и не возмущайтесь теперь ;)
Чтобы передать-таки этот заголовок, надо всё-таки поставить mode: "cors"
.
В вашем случае, если вы всё это делаете в пределах одного сайта, этого должно быть достаточно, чтобы заголовок Autorization
был передан.
Ниже рассматривается случай, когда сайт, который отправляет запрос, и сайт, который его принимает — разные сайты. Кроссдоменные запросы — более сложная штука. (example.com — сайт, на котором запускается fetch
, yourserver.com — сайт, куда отправляется запрос)
При отправке такого кроссдоменного запроса браузер в первую очередь отправит OPTIONS-запрос серверу:
OPTIONS / HTTP/1.1
Host: yourserver.com
Origin: http://example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: authorization
На это ваш сервер должен ответить, что он разрешает передавать вот это вот всё, причём разрешает это всё именно тому сайту, который отправляет запрос (Origin):
HTTP/1.1 200 OK
Access-Control-Allow-Headers: authorization
Access-Control-Allow-Origin: http://example.com
(альтернатива:) Access-Control-Allow-Origin: *
И только уже потом браузер, когда получит разрешение на отправку от сервера, отправит настоящий POST-запрос с этим несчастным Authorization
:
POST / HTTP/1.1
Host: yourserver.com
Origin: http://example.com
Authorization: Basic dXNlcjpwd2Q=
И при ответе на POST-запрос yourserver.com всё ещё должен не забывать указывать, что он разрешает сайту example.com заниматься этим:
HTTP/1.1 200 OK
Access-Control-Allow-Origin: http://example.com
(альтернатива:) Access-Control-Allow-Origin: *
Если вы упустите хоть что-нибудь из этого, ваш fetch
не заработает. Вот такие параноики современные браузеры