forbidden header name に記載されているヘッダは、ブラウザが自動的に追加するものであり、 JavaScript から制御することは出来ません。そして、たとえ forbidden header がヘッダに含まれていたとしても、それはシンプルリクエストになり得ます。
HTTP header layer division[1]
For the purposes of fetching, there is an API layer (HTML’s img, CSS' background-image), early fetch layer, service worker layer, and network & cache layer. Accept
and Accept-Language
are set in the early fetch layer (typically by the user agent). Most other headers controlled by the user agent, such as Accept-Encoding
, Host
, and Referer
, are set in the network & cache layer. Developers can set headers either at the API layer or in the service worker layer (typically through a Request object). Developers have almost no control over forbidden headers, but can control Accept
and have the means to constrain and omit Referer
for instance.
§ 2.2.2. Headers[2]
These are forbidden so the user agent remains in full control over them. Names starting with Sec-
are reserved to allow new headers to be minted that are safe from APIs using fetch that allow control over headers by developers, such as XMLHttpRequest. [XHR]
たとえば、 Origin
ヘッダは forbidden header ですが、 CORS リクエストには必ず含まれるものです。このことからも、「forbidden header に記載があるヘッダはシンプルリクエストのヘッダに含めてはならない」という主張が成り立たないとわかります。
§ 3.2.2. HTTP requests[3]
A CORS request is an HTTP request that includes an Origin
header. It cannot be reliably identified as participating in the CORS protocol as the Origin
header is also included for all requests whose method is neither GET
nor HEAD
.
また、 Cookie
ヘッダについても、一度 Set-Cookie
ヘッダにより Cookie が設定されていれば、シンプルリクエストの送信前にブラウザによって自動的に付与されます。
よって、シンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。