CORSとは

CORSとは、追加のHTTPヘッダーを使用して、あるオリジンで動作しているウェブアプリケーションに、異なるオリジンに選択されたリソースへのアクセス権を与えるようブラウザに指示するための仕組みのことで、オリジン間リソース共有と呼ばれています。

オリジンって何？

オリジンとは、ウェブコンテンツにアクセスするために使われるURLの スキーム（プロトコル）、ホスト（ドメイン）、ポートによって定義されているものです。

例えば、http://example.jpの場合

ではなぜCORSは必要なのか、それを理解するためには同一オリジンポリシーの理解が必要です。

同一オリジンポリシーとは、重要なセキュリティーの仕組みであり、あるオリジンによって読み込まれた文書やスクリプトが、他のオリジンにあるリソースにアクセスできる方法を制限するものです。セキュリティにおける重要な仕組みであり、悪意ある行動を起こしかねないリソースの分離を目的としています。

この仕組みによって、webページを生成したオリジン以外へのHTTPリクエストはできなくなります。

攻撃対象であるサイトへリクエストを行った時点でブロックされるので情報漏洩を避けることができます。

同一オリジンポリシーのおかげで、別のオリジンであるサイトへのリクエストは通らなくなります。

おかげで悪意ある攻撃から情報などを守ることができるようになったのですが、異なるオリジンへのアクセスはできなくなりました。

しかし、AJAXの普及によりAPI呼び出しなどで異なるオリジンへのアクセスが必要になりました。
そこで発案されたのがCORSです。

これまでのものは、単純リクエストと呼ばれています。

これらの条件を満たすものが単純リクエストです。

プリフライトリクエストをサーバーが受け取る
Access-Control-Allow-Method: PUT
Access-Control-Allow-Origin: http://api.example.jp
これらをレスポンスヘッダに付与する
許可が得られたためPUTリクエストが送られる

プリフライトリクエストにはリスクがないのかという疑問がありますが、
プリフライトリクエストは、クッキーやパラメータが飛ばないのでリスクは極めて小さくなっています。

基本的にCORSに関してはフレームワークがいい感じにやってくれるのですが、原理を知って正しく使用していきたいと思います。