同域iframe中图片自动鉴权在Edge生效，Firefox为何失效？

我认为这个问题核心是iframe的通用鉴权机制，不需要Azure DevOps相关知识即可分析。我正在维护一款Azure DevOps扩展（HistoryDiff），发现Edge（含Chrome）与Firefox的鉴权行为存在明显差异，具体情况如下：

安装扩展后，Azure DevOps会在标准页面中新增一个按钮，点击按钮将调用我的扩展JavaScript代码，并在页面的<iframe>元素中展示扩展生成的内容。该扩展通过REST API从Azure DevOps获取内容，其中包含用户上传的图片URL，最终页面结构如下：

<!-- iframe itself generated by Azure DevOps -->
<iframe frameborder="0" class="external-content-iframe" id="externalContentHost298" name="externalContentHost298" role="presentation" style="display: inline;" 
    sandbox="allow-downloads allow-forms allow-modals allow-pointer-lock allow-popups allow-scripts allow-top-navigation" 
    src="http://example.com/_apis/public/gallery/publisher/Sedenion/extension/HistoryDiff/1.5.1.0/assetbyname/dist/historydiff.html">
  <!-- Everything from here on is under my control. -->
  <head>...</head>
  <body>
    <!-- Content generated by my extension, also including an image: -->
    <img src="http://example.com/DefaultCollection/2d63f741-0ba0-4bc6-b730-896745fab2c0/_apis/wit/attachments/cc9d8201-3476-4355-9b84-f0ab9eb38395?fileName=Icon.png" alt="Image" style="width:69px;height:67px;" width="69" height="67">
    <!-- More stuff ... -->
  </body>
</iframe>

访问Azure DevOps标准页面（示例：http://example.com/DefaultCollection/TestProject/_workitems/edit/2/）时，Edge/Chrome和Firefox都需要登录凭证才能访问，这一步未涉及我的扩展。点击按钮加载扩展后，关键差异出现：

• Edge/Chrome可正常加载页面及图片，无需再次验证凭证；
• Firefox会在获取图片时触发二次鉴权请求，若拒绝则图片无法加载，开发者工具显示“401 Unauthorized”。

注意事项 #

• 所有资源同源：Azure DevOps、脚本/HTML、图片均通过http://example.com访问；
• iframe的sandbox属性未包含allow-same-origin；
• Firefox中直接在新标签页打开图片无需二次鉴权（已登录状态）；
• 已尝试关闭Firefox的“增强跟踪保护”，将“隐私与安全”设为“自定义”并取消所有选项（尤其是Cookies，对应配置network.cookie.cookieBehavior=0），但仍会触发二次鉴权。

请问：

1. 为什么Edge/Chrome与Firefox的行为会存在差异？
2. 是否有办法在Firefox中省略二次鉴权步骤（比如通过浏览器配置实现）？

内容的提问来源于stack exchange，提问作者Sedenion