はじめに

今どきのブラウザはではルールに従うことでクロスドメイン(クロスオリジン)のAJAXが出来ます。ルールというのは最低限、AJAXで取得するデータがある先のサーバがAccess-Control-Allow-Originヘッダを返すことです。

ただしこの仕様には関連ヘッダがやたら沢山あるので、やりたいことにたいして適切な設定するには記事後半の関連ヘッダまとめまで目を通しておくことをおすすめします。

単純なケースの .htaccess による設定例（オリジンの許可例）

これらの設定サンプルは認証を必要としないシンプルなGETリクエストでCORSを行う為の設定です。

全て許可

一番簡単なのは以下のような設定です。これを .htaccess ファイルに書いておけばそのサイト上のコンテンツは他サイトから取得し放題ということになります。

Header set Access-Control-Allow-Origin "*"

特定ドメインからのAJAX取得を許可

自分が管理している一つないしは数個程度のドメインからのみAJAX取得を許可したい場合は以下のようにします。

Header set Access-Control-Allow-Origin "http://www.example.jp"

数個程度のオリジンであれば以下のように空白区切りで列挙可能です。

Header set Access-Control-Allow-Origin "http://www.example.jp https://www.example.jp http://sub.example.jp"

特定サブドメインからのAJAX取得を許可

これはちょっと面倒です。　*.example.jp といった値が指定できれば良いのですが、仕様では http://www.example.jp などといった完全な形のオリジンか、全部許可の*か、全部拒否のnull しか指定することが出来ず、部分的なワイルドカードは許可されていません。
なので仕方がないので mod_rewrite を使って以下のように対応します。

簡易版

以下の設定は*.example.jpへの許可と同じように動作します。ホントは受け取ったOriginをそのまま返してやってもいいのですが、どうせRewriteCondで既に制限されている部分なのでとりあえず*を返して済ましています。

RewriteCond %{HTTP:Origin} \.example\.jp$
RewriteRule . - [E=CORS_OK:1]
Header set Access-Control-Allow-Origin "*" env=CORS_OK

クレデンシャル(CookieとかBASIC認証)対応版

クレデンシャルを必要とする場合は*での許可は使えないので注意が必要です。やっぱりキチンと許可オリジンを明記してやる必要があります。以下は送られてきたOriginを許可オリジンとしてオウム返しする設定です。これならクレデンシャルを扱う場合も対応できてベストですね。

RewriteCond %{HTTP:Origin} (.+\.example\.jp)$
RewriteRule . - [E=CORS_ORIGIN:%1]
Header set Access-Control-Allow-Origin %{CORS_ORIGIN}e env=CORS_ORIGIN

その他

jQuery でCORSするするときにやるべきこと。

$.support.cors = true; をajax実行前にセットしておく。これやらないとそもそもCORS出来ません。
それからクレデンシャル使う場合はajaxオプションにxhrFields: {withCredentials: true}も追加しておく。認証情報を使わない/使いたくない場合は指定不要。

XHR2でサブドメインのワイルドカードOriginに対してCORSを許可する設定、他。