open(String method, String URL,boolean async,String user,String password) でOK?/ブラウザでBASIC認証してしまうとその後ブラウザを閉じるまでCSRFされるのでその対策なのでしょう。/あーXHRがそういう動きをするという話だったのか。