XMLHttpRequest не выдает ответ, хотя отладчик показывает что ответ есть

[olkv]

Скорее всего заблудился в двух соснах, но что-то не получается.
Есть простая функция

function getTest() {

var request_token = new XMLHttpRequest();
var url="./api/account/token"; //полный адрес убрал
request_token.open("POST",url,true);
request_token.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

request_token.send("username=api&password=123");

request_token.onreadystatechange = function () {
//для простоты отключил контроль на статус
var response = request_token.responseText;
alert(request_token.responseText);
}
}

по сути она должна показывать окно (или 2 окна одно пустое) с ответом от сервиса.

В итоге request_token.responseText возвращает пустую строку.
запускал в FireFox. Отладчик в разделе "Сеть" показывает, что ответ был.
Во вложении есть файл с ответом.
А в разделе "Отладчик", на строке "request_token.responseText;" показывает пустое значение ("").
Что делаю нет так, подскажите плиз ?

[Aetae]

Хз, должно работать.
1. Попробуй onreadystatechange до send поставить.
2. Включи в консоли предупреждения и посмотри не пишет ли чего.

[olkv]

Поставил onreadystatechange до send.
Результат тот-же.
Во вложении есть полная версия страницы со скриптом.
Какая-то жесть.

У меня получилось только через PHP посредника, но как то не хочется так делать.
Что я имею ввиду, когда говорю через PHP посредника.
Есть сторонний сервис, которому нужно передать POST запрос с параметрами username и password. Напрямую через JavaScript у меня что-то не получается, попробовал создать PHP файл, который отправляет запрос на сторонний сервис, а он возвращает уже результат, тогда вроде все работает.
Работающий алгоритм такой :
1. JavaScript отправляет POST запрос файлу PHP.
2. В данном файле все просто, принимаем параметры и средствами PHP передаем их методом пост стороннему сервису, результат возвращаем с помощью "echo".
3. JavaScript получает результат и обрабатывает.
Хотелось бы обойтись без промежуточного файла.

[Aetae]

Вы не можете получить ответ от стороннего сервера внутри javascript ни в каком виде, если тот этого не разрешил со своей стороны поставив кроссдоменный хэдер. Никак. Безопасность.
Так что только с использованием серверной прокладки.