CROSS DOMAIN API调用上的Angular Authorization标头为null。为什么？

Question

我有一个Angular（1.3.8）SPA，其工厂方法尝试在进行跨域API调用之前添加基本授权标头。 API是一个ASPNET WEB API，但完全启用了CORS。 API正在使用基本身份验证消息处理程序

问题是，在第一次调用API时，根本没有AUTHORIZATION标头，即使进行API调用的代码如下所示：

    $http.defaults.headers.common.Authorization = 'Basic  blah...';

    $http.get('http://my-webapi-url').
    success(function(data, status, headers, config) {
        ...
     }).
    error(function(data, status, headers, config) {
        alert('error ' + status);
    });

API在初始呼叫时没有收到AUTHORIZATION，当然正在拒绝401的呼叫。为什么从一开始就没有AUTH标题？