CORS の *(ワイルドカード)を使うべきですか?

クレデンシャルなしのパブリック API のみで使えます。Access-Control-Allow-Origin: * では Cookie が送信されず(Access-Control-Allow-Credentials は false でなければならない)、すべてのオリジンが API にアクセスできます。認証や機密データを伴う API では、許可オリジンを明示的に指定してください。* をクレデンシャルと併用してはなりません。ブラウザが拒否します。

CORS プリフライトとは何ですか?

「単純でない」リクエスト(カスタムヘッダー、GET/POST/HEAD 以外のメソッド、form/text 以外の Content-Type)に対して、ブラウザは最初に OPTIONS リクエスト(プリフライト)を送ります。サーバーは許可メソッド、ヘッダー、オリジンで応答します。プリフライトが通れば、実際のリクエストが送られます。単純なリクエスト(カスタムヘッダーなしの GET)にはプリフライトは不要です。

CORS を安全に実装する

CORS(Cross-Origin Resource Sharing)は、オリジンをまたぐリクエストを制御付きで許可します。オリジン、メソッド、ヘッダー、資格情報の安全な設定方法を学びましょう。

1

CORS は、あるオリジンのブラウザが別のオリジンのリソースをリクエストすることを許可します。サーバーは Access-Control-Allow-Origin(許可オリジン)、Access-Control-Allow-Methods(許可 HTTP メソッド)、Access-Control-Allow-Headers(許可リクエストヘッダー)、Access-Control-Allow-Credentials(Cookie の可否)で応答します。プリフライトリクエスト(OPTIONS)が、実際のリクエストの前に権限を確認します。
2

URL パーサー →
Origin ヘッダーをパースして、リクエスト元のオリジンを検証します。許可オリジンのホワイトリストと比較してください。Access-Control-Allow-Origin: * を Access-Control-Allow-Credentials: true と併用してはなりません。無効であり、ブラウザが拒否します。特定のオリジンをそのまま返してください:Access-Control-Allow-Origin: https://example.com。
3

ハッシュ計算ツール →
動的なオリジン検証には、オリジンをハッシュ化して許可オリジンのハッシュ集合と比較します。生のオリジンを設定に保存せずに済み、O(1) の検索が可能です。ハッシュには SHA-256 を使ってください。または、ワイルドカードサブドメイン(*.example.com)には正規表現やプレフィックスマッチを使います。

よくある質問

CORS の *(ワイルドカード)を使うべきですか?: クレデンシャルなしのパブリック API のみで使えます。Access-Control-Allow-Origin: * では Cookie が送信されず(Access-Control-Allow-Credentials は false でなければならない)、すべてのオリジンが API にアクセスできます。認証や機密データを伴う API では、許可オリジンを明示的に指定してください。* をクレデンシャルと併用してはなりません。ブラウザが拒否します。
CORS プリフライトとは何ですか?: 「単純でない」リクエスト(カスタムヘッダー、GET/POST/HEAD 以外のメソッド、form/text 以外の Content-Type)に対して、ブラウザは最初に OPTIONS リクエスト(プリフライト)を送ります。サーバーは許可メソッド、ヘッダー、オリジンで応答します。プリフライトが通れば、実際のリクエストが送られます。単純なリクエスト(カスタムヘッダーなしの GET)にはプリフライトは不要です。