在获得Access-Control-Allow-Headers授权后检索授权承载令牌

Question

我仍在努力解决我以前的抓取问题（Retrieve openid bearer token using headless browser setup）。 但是，我现在有更多见解。我首先使用标头（以及其他）执行OPTION http请求：         访问控制请求标头：授权         访问控制请求方法：GET

我认为一切顺利，因为我回来了：

    Cache-Control no-cache
    Pragma no-cache
    Expires -1
    Access-Control-Allow-Origin https://website.com
    Access-Control-Allow-Credentials true
    Access-Control-Allow-Headers authorization
    Date Wed, 18 Dec 2019 14:39:10 GMT
    Content-Length 0
    Set-Cookie BNI_ServerId=00000000000000000000000099960c0a00005000; Path=/; Domain=website.com;                 Max-age=3600; Expires=Wed, 18 Dec 2019 15:39:10 GMT; Secure; HttpOnly

但是，在现实生活中，突然之间执行了GET请求，该请求突然在标头中包含了授权承载。

我正在阅读这些内容（https://javascript.info/fetch-crossorigin），然后似乎首先将服务器暴露给了捕获承载令牌的某些前端javascript（基于用户的权利？）。

如何以编程方式执行此操作？我正在使用Java。可能吗？我没看到Chrome的F12开发人员工具记录的javascript流量，因此很难复制。