Basic認証で一度入力してブラウザが覚えてしまった認証情報はブラウザのタイミングで消すか、ユーザーが消さない限り消えないのかと思っていた。

どうやら WWW-Authenticateヘッダーをつけずに401レスポンスを返すとブラウザは認証情報を破棄してくれるらしい。

知らなかった。