2

CORSでSimple Requestになる条件としてMDNに下記の記載があるのですが、“forbidden header name”に記載されているヘッダ(例えば"Cookie")はSimple Requestになるのでしょうか?

Apart from the headers set automatically by the user agent (for example, Connection, User-Agent, or any of the other headers with names defined in the Fetch spec as a “forbidden header name”), the only headers which are allowed to be manually set are those which the Fetch spec defines as being a “CORS-safelisted request-header”, which are:

https://developer.mozilla.org/ja/docs/Web/HTTP/CORS

1 件の回答 1

3

forbidden header name に記載されているヘッダは、ブラウザが自動的に追加するものであり、 JavaScript から制御することは出来ません。そして、たとえ forbidden header がヘッダに含まれていたとしても、それはシンプルリクエストになり得ます。

HTTP header layer division[1]

For the purposes of fetching, there is an API layer (HTML’s img, CSS' background-image), early fetch layer, service worker layer, and network & cache layer. Accept and Accept-Language are set in the early fetch layer (typically by the user agent). Most other headers controlled by the user agent, such as Accept-Encoding, Host, and Referer, are set in the network & cache layer. Developers can set headers either at the API layer or in the service worker layer (typically through a Request object). Developers have almost no control over forbidden headers, but can control Accept and have the means to constrain and omit Referer for instance.


§ 2.2.2. Headers[2]

These are forbidden so the user agent remains in full control over them. Names starting with Sec- are reserved to allow new headers to be minted that are safe from APIs using fetch that allow control over headers by developers, such as XMLHttpRequest. [XHR]

たとえば、 Origin ヘッダは forbidden header ですが、 CORS リクエストには必ず含まれるものです。このことからも、「forbidden header に記載があるヘッダはシンプルリクエストのヘッダに含めてはならない」という主張が成り立たないとわかります。

§ 3.2.2. HTTP requests[3]

A CORS request is an HTTP request that includes an Origin header. It cannot be reliably identified as participating in the CORS protocol as the Origin header is also included for all requests whose method is neither GET nor HEAD.

また、 Cookie ヘッダについても、一度 Set-Cookie ヘッダにより Cookie が設定されていれば、シンプルリクエストの送信前にブラウザによって自動的に付与されます。

よって、シンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。

5
  • Cache-Controlヘッダ、Pragmaヘッダが含まれているリクエストはシンプルリクエストになりますでしょうか?
    – shimmy0619
    Commented 2019年8月1日 7:10
  • 1
    その状態でシンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。
    – supa
    Commented 2019年8月1日 7:28
  • 例えば以下にはforbidden headerはSimple Requestの条件として記載されていませんが、forbidden headerがあってもSimple Requestなのでしょうか? dev.classmethod.jp/etc/about-cors qiita.com/rooooomania/items/4d0f6275372f413765de
    – shimmy0619
    Commented 2019年8月1日 9:34
  • forbidden header がシンプルリクエストの条件として記載されているかどうかに関わらず、その状態でシンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。
    – supa
    Commented 2019年8月1日 10:43
  • また、質問の答えが引用元ページに書かれているような気がしますので、もう一度しっかりと当該 Web ページを読み直してみても良いかもしれません。
    – supa
    Commented 2019年8月2日 10:53

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。