セキュリティ・Web技術

CORS（オリジン間リソース共有）

CORSは、異なるオリジンのサイトからのリクエストを、サーバーが許可するかどうかを決めるHTTPヘッダーの仕組みです。ブラウザーの制限を緩める仕組みとして使われます。

概要

CORSは、HTTPヘッダーの転送で構成されるシステムであり、オリジンをまたいだリクエストのレスポンスに、フロントエンドのJavaScriptコードがアクセスすることをブラウザーがブロックするかどうかを決める。
同一オリジンセキュリティポリシーはデフォルトでオリジン間のアクセスを禁止しているが、CORSにより、ウェブサーバーがオリジンをまたいだアクセスを許可できる。

CORSは、別のサイトのデータをブラウザーから読み込んでよいかをサーバーが宣言する仕組みである。MDNの用語集は、HTTPヘッダーで構成されるシステムと説明している。

ブラウザーは、初期設定では別オリジンへのアクセスを制限している。CORSは、その制限を、サーバー側が許可する範囲で緩めるための仕組みである。

許可しすぎると、想定しないサイトからデータを読まれる恐れがある。許可するオリジンは必要な範囲に絞るのが基本である。