3

XMLHttpRequestで他オリジンへGET送信したら、コンソールログに下記エラーが表示されました
※GET送信内容自体は、(送信先で)受信できました

XMLHttpRequest cannot load http://foo.送信先.com/. No
'Access-Control-Allow-Origin' header is present on the requested
resource. Origin 'http://bar.送信元.co.jp' is therefore not allowed
access.


質問
・どう評価したら良いでしょうか?
・「同一生成元ポリシー」には、データ送信は含まれないのでしょうか?
・それとも、違反ではあるけれどもデータが送信されているのでしょうか? つまり非推奨?
 


最終的に知りたいこと
・XMLHttpRequestで他オリジンへGET送信してもよいか
※送信元での結果取得は不要です


追記

・GETリクエスト送信だけを XMLHttpRequest を使用して行う場合、「Webサーバー側でクロスオリジンを認めない」限りコンソールログにエラーメッセージは出力される、ということでしょうか?

2
  • ところでHttpWebRequestとありますが、XMLHttpRequestのことですか?
    – unarist
    Commented 2016年5月19日 6:45
  • HttpWebRequest → XMLHttpRequest へ修正しました
    – re9
    Commented 2016年5月19日 11:47

2 件の回答 2

2

クロスオリジン、つまり別ドメインからのリクエストを受け付けるかどうかを決定するのはWebサーバーです。
コンソールログに出力されたエラーメッセージは「Webサーバーはクロスオリジンを認めるのであれば、その旨を明示すべき」と言っています。

説明が重複しますが、次のステップですのでブラウザーとしてはリクエストは送信されますし、エラーで正しいです。

  1. ブラウザーはドメインA Webサーバーへリクエストを出す
  2. ドメインA Webサーバーは「ドメインBへのリクエスト」を含むコンテンツを返す
  3. ブラウザーはコンテンツに従いドメインB Webサーバーへリクエストを出す
  4. ドメインB Webサーバーは単純にレスポンスを返す
  5. ブラウザーはレスポンスヘッダーにクロスオリジンを認める旨が含まれていないことを検出し、エラーとする
1

クロスオリジンでのGETリクエスト送信自体は XMLHttpRequest を使わずとも <script> タグや <img> タグでできていたことですから、特に制限はありません。例えば画像のURLに情報を埋め込むのはアクセス解析でよく使われる手法です。他にも <form> の送信先には別オリジンのURLを指定することができ、Javascriptから送信操作が行えます。

問題になるのはこれらの手段では不可能だったこと、つまり

  • レスポンスをJavascriptで自由に読み取ること
  • GETやフォーム送信以外のリクエストを送信すること

であり、同一オリジンポリシーはこれらを制限するようになっています。

送信自体が制限される後者の場合はプリフライトリクエストで事前に確認が行われますが、前者の場合は単にレスポンスを読み取れないだけ、という挙動になります。

参考


読み取れないだけと書きましたが、規格上はレスポンスを受け取ったらすぐにチェックが行われます。またチェックに失敗した場合はネットワークエラーという扱いで、Javascriptからはリクエストが成功したのかどうかもわかりません。

https://www.w3.org/TR/cors/#simple-cross-origin-request-0

それをコンソールに表示するのはブラウザの機能ですから、404などで表示される場合と同様、ブラウザの設定で非表示にできるぐらいで、Javascript側で制御することはできないかと思います。

1
  • コメント欄では改行できないようなので、本文に疑問点を追記しました
    – re9
    Commented 2016年5月19日 12:09

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。