2015/03/10 (Tue) ajaxでクロスドメイン回避

会社でWebAPIを作成して他チームに公開していたのですが、Javascriptから実行したいという要望を受けました。

したらいいんじゃないーと軽く言ったら、クロスドメインなめんなーと言われてしまったので、対策をメモしていきます。

そもそもJavascriptをブラウザから動かしますと、自身と異なるドメインにはajaxでアクセスできません(厳密にはブラウザがヘッダーしか受け取ってくれない)

まぁそこでサーバー側からアクセスしたり、jsonpで対応したりするのですが、修正を最小限にしたい場合は、「クロスドメインを許可する」という選択肢もあるようです。

具合的には、サーバーからのレスポンスヘッダーに

Access-Control-Allow-Origin:*

と返すようにすると、ブラウザは対象のドメインに対してクロスドメインを抑制しなくなります。
これだと簡単すね。

ホストを絞り込みたい場合は、*を止めてホスト名をかけるようです。
他にもメソッドやヘッダーでも絞れるようですが、それはまた今度にでも記事にしようかと。


RESTなAPIがクロスドメインなんてつまらない制約に縛られないといいですねー