будет передаваться браузером и обрабатываться в PHP_AUTH_{USER,PW} до тех пор пока сессия не слетит (рестарт браузера).

Так проблема, как я понял, сделать так, чтобы переменные PHP_AUTH передавались сценарию за пределами каталога, в котором произошла аутентификация (чего по умолчанию не происходит).