Experience Cloud Identity Service での CORS のサポート

ブラウザーは、クロスオリジンリソース共有（CORS）を使用して、現在のドメイン以外のドメインのリソースをリクエストします。Experience Cloud Identity Service は、これらのクライアント側のクロスオリジンリソースリクエストを可能にする CORS 標準規格をサポートしています。古いブラウザーや CORS をサポートしていないブラウザー上では、JSONP リクエストに切り替わります。

同一オリジンポリシーと ID サービスリクエストの問題

同一生成元ポリシー（同一オリジンポリシー）は、web ブラウザーによって適用されるセキュリティ制御または制限です。 このレベルで適用されると、あるページから別のページへのリソースのリクエストを許可するかブロックするかを web ブラウザー自体が決定します。 リクエストが同一生成元（オリジン）のリクエストであるかどうかを判断するために、ブラウザーは以下を比較します。

• ユニフォームリソース識別子（URI）
• ホスト名（例：http://www.my-webpage-example.com）
• ポート番号（例：HTTP および HTTPS リクエストの場合はポート 80 および 440）

ブラウザーは、両方のページがこれらの特性を共有している場合はリクエストを成功させ、共有していない場合はリソースリクエストをブロックします。

CORS で同一生成元ポリシーの問題を解決

CORS は、異なるドメインをまたいでリソースをリクエストするための安全で効果的な方法を提供します。 CORS 仕様には、ブラウザーがリソースリクエストの送信、受信、評価に使用する一連の HTTP ヘッダーが含まれています。 リソースリクエストの評価は​preflight check​と呼ばれます。 このチェックにより、ブラウザーとサーバーは、どのリクエストを許可またはブロックするかを決定できます。 プリフライトチェックは、リソースをリクエストするアプリ、API、スクリプトに対して透過的です 。 リソースリクエストの処理で重要なヘッダーは次の 2 つです。

• Origin：リクエストのソースを識別するリクエストヘッダー。
• Access-Control-Allow-Origin：リクエストがリクエスト元と共有できるかどうかを示す応答ヘッダー。

これらのヘッダーがどのように動作するかを説明します。この例では、サイト www.finance-website.com に Experience Cloud ID サービスを実装した金融サービス会社があるとします。CORS リクエストヘッダーおよび応答ヘッダーでリソースへのアクセスをチェックする方法を次の表に示します。

useCORSOnly も参照してください。

CORS を使用することのその他のメリット

ID サービスを使用する顧客にとっての CORS の利点をいくつか次の表に示します。