forbidden header name に記載されているヘッダは、ブラウザが自動的に追加するものであり、 JavaScript から制御することは出来ません。そして、たとえ forbidden header がヘッダに含まれていたとしても、それはシンプルリクエストになり得ます。
HTTP header layer division[1]
For the purposes of fetching, there is an API layer (HTML’s img, CSS' background-image), early fetch layer, service worker layer, and network & cache layer.
Accept
andAccept-Language
are set in the early fetch layer (typically by the user agent). Most other headers controlled by the user agent, such asAccept-Encoding
,Host
, andReferer
, are set in the network & cache layer. Developers can set headers either at the API layer or in the service worker layer (typically through a Request object). Developers have almost no control over forbidden headers, but can controlAccept
and have the means to constrain and omitReferer
for instance.
§ 2.2.2. Headers[2]
These are forbidden so the user agent remains in full control over them. Names starting with
Sec-
are reserved to allow new headers to be minted that are safe from APIs using fetch that allow control over headers by developers, such as XMLHttpRequest. [XHR]
たとえば、 Origin
ヘッダは forbidden header ですが、 CORS リクエストには必ず含まれるものです。このことからも、「forbidden header に記載があるヘッダはシンプルリクエストのヘッダに含めてはならない」という主張が成り立たないとわかります。
§ 3.2.2. HTTP requests[3]
A CORS request is an HTTP request that includes an
Origin
header. It cannot be reliably identified as participating in the CORS protocol as theOrigin
header is also included for all requests whose method is neitherGET
norHEAD
.
また、 Cookie
ヘッダについても、一度 Set-Cookie
ヘッダにより Cookie が設定されていれば、シンプルリクエストの送信前にブラウザによって自動的に付与されます。
よって、シンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。