ブラウザによるOriginヘッダーの違いまとめ

ブラウザによって、あるケースではOriginヘッダーが付与されなかったりして困りました。
あまりそういう人はいないのか、ググってもあまりヒットしなかったので調べた結果を残しておきます。

調査したブラウザ

• Chrome 79.0.3945.130
• Firefox 72.0.1
• Microsoft Edge 44.18362.449.0 (EdgeHTML 18.18362)
• Internet Explorer11 592.18362.0

調査したパターン

下記の組み合わせでリクエストヘッダーにOriginが設定されるか否かを調査。
- リクエストメソッドはPOSTとGETに絞った
- 接続先は同一ドメイン・別ドメインで検証
- フォーム送信、Fetch API、XMLHttpRequestの３パターンを検証

調査結果

フォーム送信

• ChromeとFirefoxはPOST時にはOriginが設定された。
• EdgeとIE11は設定されない

クロスドメイン		同一ドメイン
POST	GET	POST	GET
あり※	なし	あり※	なし

※EdgeとIE11以外

Fetch API

• （Fetch APIに対応していないIE11を除く）すべてのブラウザはすべて同じ挙動だった
  • クロスドメインへのアクセスはGETかPOSTかに関わらず、Originヘッダーが付与される
  • 同一ドメインへのアクセスでもPOSTの場合はOriginヘッダーが付与される

クロスドメイン		同一ドメイン
POST	GET	POST	GET
あり	あり	あり	なし

XMLHttpRequest

• クロスドメインへのアクセスはGETかPOSTかに関わらず、どのブラウザでもOriginヘッダーが付与される
• 同一ドメインへのPOSTもGETも基本的にはOriginヘッダーが付与される
  • 但し、IE11はGETの場合は付与されない

クロスドメイン		同一ドメイン
POST	GET	POST	GET
あり	あり	あり	あり※IE11以外

まとめ

The user agent MAY include an Origin header field in any HTTP request.

RFC的には明確にどの場合に付与するか決まってないようです。
Edgeはバグのような記述を見ましたが、IE11の挙動が変わる気がしないので使いにくい属性だと思いました。