CORS Credentials
CORS クレデンシャルは、クロスオリジンリクエストが Cookie と HTTP 認証を伴うかどうかを制御し、クライアントとサーバーの両方が明示的にオプトインする必要がある。
目的
クロスオリジンリクエストにおける Cookie と認証ヘッダーの送信を安全に管理し、クロスオリジンでのクレデンシャル漏えいを防ぐ。
メカニズム
クライアントは fetch で credentials: "include" を設定し、サーバーは Access-Control-Allow-Credentials: true を返す。Allow-Origin は * ではなく具体的な値でなければならない。デフォルトでは同一オリジンリクエストのみがクレデンシャルを伴う。
ユースケース
- Cookie を伴うクロスオリジンリクエスト
- クロスドメインの SSO 認証
- クロスオリジン API のセッション