CORS について質問です。

Question

http://localhostから、xmlhttprequestを使って、http://example.comのページを取得したいのですが、SOPによってブロックされてしまいます。

    <script>
        let action = "http://example.com";
        let method = "GET";
        // xhrインスタンスの作成
        let xhr = new XMLHttpRequest();
        xhr.open(method,action);
        // Headerを指定する
        xhr.setRequestHeader('Content-Type','text/plain')
        // HTTPリクエストを送信
        xhr.send();
        //データ取得処理を書く
        xhr.onreadystatechange = function() {
            // 4:通信が完了しているか確認
            if ( xhr.readyState === 4 && xhr.status == 200) {
                console.log(xhr.responseText);
            }
    }

    </script>

上記のコードは、CORSのシンプルなリクエストの条件を満たしているので、http://example.com側の許可がなくてもデータを取得できると思うのですが、なぜできないのでしょうか？

Answer 1

CORSのシンプルなリクエストの条件を満たしているので、http://example.com側の許可がなくてもデータを取得できると思うのですが

取れません。「シンプルなリクエストの条件」は、プレフライトが飛ばない条件であって、相手方のヘッダなしにCORSが可能となる条件ではありません。

Answer 2

サーバー側がhttpヘッダでAccess-Control-Allow-Originを開放していない限り
CORS制約によりデータを入手することはできません

Comments

[shoooo]

シンプルなリクエストの場合でも、Access-Control-Allow-Originヘッダがレスポンスに含まれていない場合入手できないということでしょうか？