CORS

CORS (Cross Origin Resource Sharing) はHTTPヘッダーを使用して異なるオリジン間でリソースを共有する仕組み。サーバーがクライアントのリクエストに対して以下のヘッダーを用いて応答し、どのオリジンに対して許可しているかを示す。

Access-Control-Allow-Origin アクセス可能な外部のドメインを指定
Access-Control-Allow-Methods アクセス可能なHTTPメソッドを指定
Access-Control-Allow-Headers 外部ドメインで使用するヘッダを制限する

CORSは認証や認可のように特定のエンドポイントを保護する仕組みではない。異なるドメイン間の呼び出しの制限を緩和する仕組みになる。なので、CORSを許可していないエンドポイントを呼び出すこと自体は可能になる。

注意しなくてはいけないのはCORSはあくまでもクライアント（ブラウザ）のセキュリティであり、リクエストを受け取るサーバーはCORSの設定有無に関わらずリクエストの認証認可、サニタイジングを行わなくてはいけない。よくある誤解としてCORSにより許可されていないリクエストはサーバーで処理されないと思われがちだが、それは間違いである。

サンプルコード

SpringSecurityでCORSの設定をするには以下のようにする。

@RestController
public class MainController {

    private Logger logger =
            Logger.getLogger(MainController.class.getName());


    @PostMapping("/test")
    @CrossOrigin("http://localhost:8080")
    public String test() {
        logger.info("Test method called");
        return "method called";
    }

}