IP制限とCORS対応を両立したREST APIを作成したい

Question

前提・実現したいこと

Lumen(Laravel)でREST APIを作成しています。
アクセスに関して、IP制限とCORS対応の両立は実現可能でしょうか？
以下の感じを両立したいと思っております。

発生している問題・エラーメッセージ

要件
・サーバーサイドからの呼び出しをしたい（IP制限したい）
・フロントエンドからJavaScriptによって非同期通信を行いたい

予想

IP制限：普通にアプリケーション側でチェック
CORS対応：IP制限のチェックをしない。CORSのトークンで認可？（よくわかってないです…）

Comments

[退会済みユーザー]

可能か、不可能かでいえば可能

Answer 1

要件が今ひとつ明確でないですが、以下のようなアクセス制御をしたいということでしょうか。

• サーバーからのアクセスについてはIPアドレス制限をもうける
• ブラウザからのアクセスはIPアドレス制限はせず、別の方法で認可処理する

以下、そういう条件だとして回答します。
結論からいうと、そのような制御は難しいと思います。なぜなら、「サーバーがブラウザのフリをしてアクセスする」ことが可能で、その場合はIPアドレスを回避されてしまうからです。

解決策としては、サーバー用とブラウザ用でAPIのエンドポイントを分けことが考えられます。そうなると、実装は自明であり、それぞれ単に実装するだけかと思います。

Comments

[many_sushi]

エスパーしていただいてしまい、申し訳ありません。ご提示いただいたアクセス制御ということでした。
ご回答ありがとうございました。
エンドポイントを分離する方針で考えてみます。