BASIC認証をかいくぐってCORSしたい

Question

以下の質問を読んでて、こうやればできるのでは？と思ってたことを
本当にやったら、できなかったので改めて解決策を質問させてください
元質問

##概要

BASIC認証配下のファイルのテキストデータを外部ドメインから取得したい

---

レスポンス側サーバー：Apache2.x (SSL)

root/

├ testBASIC

   ├ .htaccess
   ├ .htpasswd
   ├ secret.data

リクエスト側サーバー：Apache2.x

root/

├ testFolder

   ├ indexBASIC.html

---

.htaccess

<Files ~ "^.(htaccess|htpasswd)$">
deny from all
</Files>
AuthUserFile /home/users/0/＊＊＊＊/web/testBASIC/.htpasswd
AuthGroupFile /dev/null
AuthName "Please enter your ID and password"
AuthType Basic
require valid-user
Header append Access-Control-Allow-Origin: http://[リクエスト側ドメイン].jp
Header append Access-Control-Allow-Headers: authorization

indexBASIC.html

      $.ajax({
        beforeSend: function (xhr) {
            xhr.overrideMimeType('text/html;charset=UTF-8');
            xhr.setRequestHeader ("Authorization", "Basic " + btoa('myUser:myPass'));
        },
        url: 'https://[レスポンス側ドメイン]/testBASIC/secret.data',
        type: 'GET'
     }).done((data, textStatus, jqXHR) => {
            console.log(data);
     }).fail((jqXHR, textStatus, errorThrown) => {
            console.log('エラーは：' + jqXHR.status);
     })

ブラウザで直に'https://[レスポンス側ドメイン]/testBASIC/secret.data'にアクセスして
ID/Pass入力すれば問題なくデータが表示されます
しかしリクエスト側サーバーのindexBASIC.htmlにアクセスした場合のhttpヘッダの様子は
以下の画像のになります

リクエストヘッダに"Authorization"を追加しているので
preflightが飛んでると思うのですがその時点でアウトになってしまってるようで
ajaxのfailハンドラの出力は”エラーは0”となってて
本リクエストの送信はされていないようです

レスポンス側の.htaccessにヘッダに追加すればいいかもと思って
上記のようにしてみてるのですが401となってしまいます・・・
どのようにすれば無事にデータファイルにアクセスできるでしょうか？

Comments

[otolab]

元記事でwtokunoさんが書いているようにmethods(optionsを追加)、allow-headers(authorizationを追加)などの調整が必要ですね。
> サーバ側でプリフライトリクエストを適切に処理し、
> Access-Control-Allow-Methods、Access-Control-Allow-Headersなどのヘッダを含む
> 適切なレスポンスを返してください。

[Fujiman]

ありがとうございます。
実は上記のhtaccessの記述が「プリフライトを適切に処理」だと思っていたのですが
やはり蹴られてしまいます。この状態で、GoogleChromeでアクセスすると
以下のようなエラーメッセージとなりカスタムのヘッダのことより
Allow-Originのヘッダが返ってきていないというものになってしまってます。
上記の記述方法ではプリフライトの段階でのレスポンスヘッダに含めることが
できていないのでしょうか？
Chromeコンソールのエラーメッセージ
Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource.