http リクエストヘッダの項目の有無について

Question

ブラウザでwebページにアクセス(get送信)した際、本来ならリクエストヘッダーにOrigin 項目が含まれると思うのですが、自社のサイトにアクセスした際Origin項目が存在しませんでした。
httpアクセス時にサーバーサイド(php)でドメイン名を見たかったのですが、必ずOriginは存在すると思っていました。
GETでアクセスをした場合には設定されないものなのでしょうか？
利用しているブラウザはChromeの最新版です。

ブラウザで表示されているhttp リクエストヘッダの内容は下記でした。

Access-Control-Allow-Origin: *
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Connection: Keep-Alive
Content-Length: 2899
Content-Type: application/json
Date: Mon, 17 Jun 2019 05:09:19 GMT
Expires: Mon, 26 Jul 1997 05:00:00 GMT
Keep-Alive: timeout=10, max=200
Pragma: no-cache
Server: Apache

Answer 1

ブラウザでwebページにアクセス(get送信)した際、本来ならリクエストヘッダーにOrigin 項目が含まれると思うのですが

含まれなくて問題ありません。OriginはCORSやPOSTを行う際に付与されるヘッダです（MDN）。

Comments

[enigumalu]

なるほどCORS対応で考えていたのですが、
Origin: http://zisyasaito.com のように訪問したサイトと同じ場合はおそらくxssの問題なく
Origin: http://google.com のように他所のサイトに行こうとしていた場合クロスサイトスクリプティングの可能性があると言う認識であっていますでしょうか？

[maisumakun]

そうですね、同じサイトへのAjaxは「クロスサイト」ではないのでCORSには含まれません。

Answer 2

PHP側では $_SERVER['HTTP_HOST'] が使えませんかね。
Hosts: ヘッダがあれば設定されますが、HTTP 1.1 では Hosts: は（仕様上唯一の）必須ヘッダなので、まず使えると思うのですが。