[再]BASIC認証下データへのクロスオリジンアクセス

Question

元質問で教えてもらったBASIC認証下にあるデータを別ドメインからのアクセスで読み出すことがまた必要になり質問時の設置サイトの動作の検証をしたところ、なぜかまたCORSのエラーが発生するようになってしまいました。どういったところがマズイのか教えていただけるでしょうか？構成は前質問と同じです。

アクセスされる側の.htaccess

Header append Access-Control-Allow-Origin: http://[アクセスする側のドメイン]
Header append Access-Control-Allow-Credentials: true
<Files ~ "^.(htaccess|htpasswd)$">
deny from all
</Files>
AuthUserFile [フルパス]/.htpasswd
AuthGroupFile /dev/null
AuthName "Please enter your ID and password"
AuthType Basic
require valid-user

アクセスする側のJavaScript

// 抜粋
  await (function(){
    $.ajax({
      beforeSend: function (xhr) {
          xhr.overrideMimeType('text/html;charset=UTF-8');
      },
      username: '[ID]',
      password: '[PassWord]',
      xhrFields: {
        withCredentials: true
      },
      url: '[アクセス先URL]/secret.data',
      type: 'GET'
    }).done((data, textStatus, jqXHR) => {
          console.log(data);
    }).fail((jqXHR, textStatus, errorThrown) => {
          console.log('エラーは：' + jqXHR.status);
    })
  })()

エラーメッセージ

Access to XMLHttpRequest at '[アクセス先ドメイン]/secret.data' from origin '[アクセス元ドメイン]' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

httpヘッダの様子

Comments

[退会済みユーザー]

エラーメッセージは "No 'Access-Control-Allow-Origin' header is present on the requested resource." と言ってますが、そのあたりを Fiddler などを使って調べましたか？

[Fujiman]

いえしていません。GoogleChromeのDevToolで”secret.data”のレスポンスヘッダをみただけです

[退会済みユーザー]

やる気がないなら結構です。

[ockeghem]

secret.data のレスポンスヘッダをDevToolからでよいのでコピペして質問に追記してください。

[Fujiman]

追加いたしました。よろしおねがいします

[Fujiman]

やる気が無いわけではないのですが、キャプチャについてはインストールからで、また解析できるのかちょっと不安もあり、時間かかりそうですがこれからやろうとおもいます。

[退会済みユーザー]

後で追加した画像を見ると既にキャプチャ済みだったようですね。「いえしていません」を誤解してました。すみません。

キャプチャ画像を見ると "No 'Access-Control-Allow-Origin' header is present on the requested resource." というのはその通りのようで、普通に基本認証を行う際の最初の 401 応答が返ってきています。

ockeghem さんが前のスレッドで説明された通りに実装し、以前は問題なかったということだと理解していますが、その時の要求・応答がどうなっていたか比べることはできませんか。

Answer 1

レスポンスヘッダを見ると、下記の設定通りにレスポンスが返っていないことがわかります。

Header append Access-Control-Allow-Origin: http://[アクセスする側のドメイン]
Header append Access-Control-Allow-Credentials: true

もし上記が有効なら、下記がレスポンスヘッダに含まれるはずです。

Access-Control-Allow-Origin: http://[アクセスする側のドメイン]
Access-Control-Allow-Credentials: true

なので、.htaccessの記載内容や、Apacheのmod_headersモジュールが有効になっているか等を見直すのがよいと思います。

Comments

[Fujiman]

ありがとうございます。
サーバーの管理者に確認して報告いたします