Experience Cloud Identity Service での CORS のサポート

ブラウザーは、クロスオリジンリソース共有（CORS）を使用して、現在のドメイン以外のドメインのリソースをリクエストします。Experience Cloud Identity Service は、これらのクライアント側のクロスオリジンリソースリクエストを可能にする CORS 標準規格をサポートしています。古いブラウザーや CORS をサポートしていないブラウザー上では、JSONP リクエストに切り替わります。

同一オリジンポリシーと ID サービスリクエストの問題

同じ接触チャネルポリシーとは、Webブラウザーによって適用されるセキュリティ制御または制限です。 このレベルで適用される場合、Webブラウザー自体は、あるページから別のページに対して行われたリソースのリクエストを許可するかブロックするかを決定します。 リクエストが同じ接触チャネルのリクエストであるかどうかを判断するために、ブラウザーは次を比較します。

• Uniform Resource Identifier(URI)
• ホスト名(例：http://www.my-webpage-example.com)
• ポート番号（例：HTTPおよびHTTPS要求の場合はポート80および440）

両方のページがこれらの特性を共有している場合、ブラウザーはリクエストの成功を許可し、共有していない場合はリソースリクエストをブロックします。

同じ接触チャネルポリシーの問題を解決するCORS

CORSは、異なるドメイン間でリソースをリクエストするための安全で効果的な方法を提供します。 CORS仕様には、リソースリクエストの送信、受信および評価にブラウザーが使用するHTTPヘッダーのセットが含まれています。 リソースリクエストの評価は​preflight check​と呼ばれます。 このチェックにより、ブラウザーとサーバーは、どのリクエストを許可またはブロックするかを決定できます。 プリフライトチェックは、リソースをリクエストするアプリ、API、スクリプトに対して透過的です。 リソースリクエストプロセスで重要な2つのヘッダーは、次のとおりです。

• Origin：リクエストのソースを識別するリクエストヘッダー。
• Access-Control-Allow-Origin：リクエストがリクエスト元と共有できるかどうかを示す応答ヘッダー。

これらのヘッダーがどのように動作するかを説明します。この例では、サイト www.finance-website.com に Experience Cloud ID サービスを実装した金融サービス会社があるとします。次の表に、CORSリクエストおよび応答ヘッダーがリソースへのアクセスをチェックする方法を定義します。

useCORSOnly も参照してください。

CORS を使用することのその他のメリット

次の表に、IDサービスを使用する顧客にとってCORSがもたらす利点の一部を示します。