Der Browser sendet bei jedem Request einen Header Authorization: Basic dXNlcjpwYXNz, da steht encode_base64("Benutzername:Passwort") drin.

Die Übertragung dieser Credentials (Zugangsdaten) erfolgt stets in eine Richtung, also vom Browser zum Server. Und wie gehabt werden header+body komplett verschlüsselt sofern HTTPS,SSL,TLS.

So kann auch ein unachtsamer Programmierer nicht aus Versehen die Zugangsdaten aus einem Formular per GET senden und damit an den URL dranhängen. Also der Browser nimmt Dir alles ab, nicht einmal das Formular musste selber machen.

mfg