Lightpanda Browser

这是 Lightpanda 的一个 bug（存在于 1.0.1 和 main @3476970a 中）。当使用 Fetch.enable({handleAuthRequests: true}) 时——这正是 Puppeteer 的 page.setRequestInterception(true) 所发送的内容——即使响应中没有 WWW-Authenticate/Proxy-Authenticate 头，Lightpanda 也会将每个 401/407 响应视为 HTTP 认证质询。它会发出带有空质询（source: "", scheme: ""）的 Fetch.authRequired，而当客户端以 Default 或 CancelAuth（Puppeteer 的默认行为）回复时，Lightpanda 会以 AbortAuthChallenge 中止请求，而不是将 401 传递给页面。因此，使用 cookie/session 认证并返回裸 401 的 SPA 会看到 fetch() 被拒绝。变通方法：(1) 通过原始 CDP 并设置 handleAuthRequests: false 来启用拦截——这样 http_request_auth_required 监听器永远不会被注册，传输不会被挂起，401 会到达页面。(2) 用排除 API 的 URL 模式来限定 Fetch.enable 的作用范围，例如 Fetch.enable({patterns: [{urlPattern: '*/assets/*'}], handleAuthRequests: true})——不匹配该模式的请求会绕过拦截并收到真实的 401。Chrome 在两个方面有所不同：它仅在存在真实质询头时才触发 Fetch.authRequired，并且对于 Default/CancelAuth 应答，它会取消认证流程，但仍会传递原始的 401 响应。请关注 issue #4018，跟踪使 Lightpanda 与 Chrome 对齐的修复。