Lightpanda Browser

これは Lightpanda のバグです（1.0.1 および main @3476970a に存在します）。Puppeteer の page.setRequestInterception(true) が送信する Fetch.enable({handleAuthRequests: true}) を使用すると、Lightpanda は、レスポンスに WWW-Authenticate/Proxy-Authenticate ヘッダーがなくても、すべての 401/407 レスポンスを HTTP 認証チャレンジとして扱います。空のチャレンジ（source: "", scheme: ""）を伴う Fetch.authRequired を発火し、クライアントが Default または CancelAuth（Puppeteer のデフォルト）で応答すると、Lightpanda は 401 をページに配信する代わりに AbortAuthChallenge でリクエストをアボートします。そのため、素の 401 を返す cookie/session 認証を使用している SPA では、fetch() が reject されることになります。回避策: (1) handleAuthRequests: false を指定して raw CDP 経由でインターセプションを有効にする — この場合、http_request_auth_required リスナーは一切登録されず、転送はパークされず、401 がページに届きます。(2) API を除外する URL パターンで Fetch.enable の対象範囲を限定する（例: Fetch.enable({patterns: [{urlPattern: '*/assets/*'}], handleAuthRequests: true})）— パターンに一致しないリクエストはインターセプションをバイパスし、実際の 401 を受け取ります。Chrome の動作は 2 つの点で異なります。Chrome は実際のチャレンジヘッダーが存在する場合にのみ Fetch.authRequired を発火し、Default/CancelAuth の応答に対しては認証フローをキャンセルしながらも、元の 401 レスポンスを配信します。Lightpanda を Chrome に合わせる修正については issue #4018 を追跡してください。