CORSとは何ですか？

ブラウザが異なるオリジン（ドメイン）間でリソースを共有することを制御する仕組み。Web開発で頻出するセキュリティ機能。

CORSのポイントは？

Cross-Origin Resource Sharing の略。ブラウザの同一オリジンポリシーを緩和する仕組み。Access-Control-Allow-Origin ヘッダで許可するオリジンを指定。プリフライトリクエスト（OPTIONS）で事前に許可を確認

【こーす】

CORS とは？

最終更新: 2026年3月27日

💡 「別のサイトからのアクセス」を許可/拒否するブラウザのルール

📌 このページのポイント

Cross-Origin Resource Sharing の略
ブラウザの同一オリジンポリシーを緩和する仕組み
Access-Control-Allow-Origin ヘッダで許可するオリジンを指定
プリフライトリクエスト（OPTIONS）で事前に許可を確認

異なるオリジン間の安全な通信を実現する仕組み

ひよこ

CORSエラーってなんで起きるの？

ペンギン先生

ブラウザには「同一オリジンポリシー」という安全装置があって、異なるオリジン（プロトコル+ドメイン+ポート）へのリクエストをデフォルトでブロックするんだ。フロントエンド（localhost:3000）からAPI（localhost:8080）にアクセスすると「異なるオリジン」と判定されてCORSエラーになるよ

ひよこ

どうやって解決するの？

ペンギン先生

API側で「Access-Control-Allow-Origin: https://your-frontend.com」ヘッダを返すようにするよ。Express.jsならcorsミドルウェア、Djangoならdjango-cors-headersで設定可能。「*」（全オリジン許可）は開発環境では楽だけど、本番では特定のオリジンだけ許可するのが鉄則だね

ひよこ

プリフライトリクエストって何？

ペンギン先生

POST（JSONボディ）やカスタムヘッダ付きリクエストの場合、ブラウザは本命のリクエストの前にOPTIONSメソッドで「このリクエスト送っていい？」と事前確認するんだ。サーバーがOKと返せば本命のリクエストが送られる。シンプルなGETリクエストではプリフライトは発生しないよ

ひよこ

CORSはセキュリティ対策？

ペンギン先生

CORSは「ブラウザの安全装置」であって、サーバーのセキュリティ対策ではないよ。curlやPostmanからはCORS制約なしにアクセスできる。CORSはクロスサイトリクエストフォージェリ（CSRF）の緩和策の一つであって、APIの認証・認可（JWT、APIキー）は別途必要だね

まとめ：ざっくりこれだけ覚えればOK！

「CORS」って出てきたら「異なるドメイン間のリソース共有ルール」と思えればだいたいOK！

📖 おまけ：英語の意味

「Cross-Origin Resource Sharing」＝オリジン間リソース共有

💬 Cross-Origin（異なる出自の）Resource（リソース）Sharing（共有）だよ

← 用語集にもどる