@Oyasumi-Punpun все так дело было в CORS.
после тысячи попыток нашел ответ, сервер должен добавлять заголовок:
access-control-allow-origin: *
благодарю за наводку, я думал это совсем не работает.
Зашли на сайт, авторизировались и нужно скачать файл
При попытке скачать через http клиент "теряется" авторизация (https://wiki.bablosoft.com/doku.php?id=ru:how_to_load_files_from_url - не прокатывает)
а функционал по скачиванию из браузера отсутствует
как быть ????