CORSCross-Origin Resource Sharing

CORS は、Webブラウザのセキュリティモデル「同一オリジンポリシー」によって制限されているクロスオリジンリクエストを、サーバー側の許可で限定的に解放する仕組みです。サーバーは「Access-Control-Allow-Origin: https://exbk.jp」のようなヘッダーで許可するオリジンを返し、Cookie等の資格情報を含む場合は Access-Control-Allow-Credentials: true と具体的なオリジン指定 (ワイルドカード* と併用不可) が必要です。複雑なリクエスト (PUT/DELETE/カスタムヘッダー) では事前にOPTIONSメソッドの「プリフライトリクエスト」が走り、サーバーが許可メソッド・ヘッダー・最大キャッシュ秒数 (Access-Control-Max-Age) を返します。CORSはCSRFとは別物で、ブラウザを介さないAPI連携 (Postman・サーバー間通信) には影響しません。