apache2.2 CORS設定

クロスドメインからの特定URLへのアクセスのみ許可する設定

条件

• 確認ブラウザ chrome
• オリジンドメイン http://origin.com
• クロスドメイン https://cross.com
• 上記の条件の場合、クロスドメインからの https://origin.com/sub/ へのアクセスのみCORS設定
• cookieも使用

apache2/conf/httpd.conf

apache2/conf/httpd.conf

<Location /sub/>
        <IfModule mod_headers.c>
                # リクエストのOriginヘッダが指定ドメイン場合はAccessControlAllowOrigin変数へOriginドメインをセット
                SetEnvIf Origin "^https://cross.com$" AccessControlAllowOrigin=$0
                SetEnvIf Origin "^http://cross.com$" AccessControlAllowOrigin=$0
                # AccessControlAllowOrigin変数が空ではない場合、Access-Control-Allow-OriginレスポンスヘッダへAccessControlAllowOrigin変数の値をセット
                Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
                # AccessControlAllowOrigin変数が空ではない場合、Access-Control-Allow-Credentialsレスポンスヘッダへtrueをセット
                Header set Access-Control-Allow-Credentials true env=AccessControlAllowOrigin
        </IfModule>
</Location>

テスト（設定反映前）

• オリジン https://origin.com からのアクセス
  -> https://origin.com/sub/
  もちろんアクセス可能

• クロスオリジン https://cross.com からのアクセス
  -> https://cross.com -> https://origin.com/sub/
  CORBが効いてリソースを表示してくれない

Access to XMLHttpRequest at 'https://origin.com/sub' from origin 'https://cross.com' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

テスト（設定反映後）

• クロスオリジン https://cross.com からのアクセス
  -> https://cross.com -> https://origin.com/sub/
  リソースを表示してくれる

• Response Headers

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://cross.com