ajaxのクロスドメイン通信時に失敗する

Question

###前提・実現したいこと
異なるドメインのapiサーバにajaxで接続して認証を行いたい。
前提として、apiサーバ側はCORS通信を許可しています。

###発生している問題・エラーメッセージ

XMLHttpRequest cannot load "https://awesome-api.server.com/api/login" Request header field Access-Control-Allow-Origin is not allowed by Access-Control-Allow-Headers in preflight response.

chromeのNetworkタブの通信結果はこんな感じです

General
Request URL:https://awesome-api.server.com/api/login
Request Method:OPTIONS
Status Code:200 OK
Remote Address:(情報保護のため伏せます)

Response Headers
Access-Control-Allow-Headers:Content-Type,X-Amz-Date,Authorization,X-Requested-With,X-Requested-By,X-Api-Key,X-Auth-Token
Access-Control-Allow-Methods:POST
Access-Control-Allow-Origin:*
Connection:keep-alive
Content-Length:18
Content-Type:application/json
Date:Tue, 07 Jun 2016 08:11:49 GMT
Via:1.1 1595f6e72d977d864a2806ced66554f2.cloudfront.net (CloudFront)
X-Amz-Cf-Id:eqeMld85btOJMKdiF6BQylYEB-NOlwq36r0hPNqkujHmXlngmOvSfg==
x-amzn-RequestId:7bdf2fa2-2c87-11e6-8972-9bd51d368f78
X-Cache:Miss from cloudfront

Request Headers
Accept:/
Accept-Encoding:gzip, deflate, sdch, br
Accept-Language:ja,en-US;q=0.8,en;q=0.6
Access-Control-Request-Headers:accept, access-control-allow-headers, access-control-allow-methods, content-type
Access-Control-Request-Method:POST
Cache-Control:max-age=0
Connection:keep-alive
Host:awesome-api.server.com
Origin:http://localhost:3002
Referer:http://localhost:3002/
User-Agent:Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2661.102 Safari/537.36

###該当のソースコード

(function ($,window) {
  $(function () {
    $.ajax({
      type:"POST",
      url:"https://awesome-api.server.com/api/login",
      data:{
        "access_key": "hoge",
        "access_secret": "foo"
      },
      headers:{
        'Access-Control-Allow-Headers':'Content-Type,X-Amz-Date,Authorization,X-Requested-With,X-Requested-By,X-Api-Key,X-Auth-Token,Accept',
        'Access-Control-Allow-Methods':'GET,POST,OPTIONS',
        'Content-Type':'application/json'
      }
    }).done(function (data) {
      console.log(data);
    }).fail(function (error) {
      console.log(error);
    });

  })
})(window.jQuery,window);

###試したこと
curlで同様のパラメータを組み立てて通信するとアクセストークンがきちんと返ってきます。

curl -X POST --header 'Content-Type: application/json' --header 'Accept: application/json' -d '{
"api_access_key": "hoge",
"api_access_secret": "foo"
}' 'https://awesome-api.server.com/api/login'

->{"accessToken":"thisisaccesstoken"}

エラーメッセージは「プリフライト・レスポンスのAccess-Control-Allow-OriginがAccess-Control-Allow-Headerを許可していません」と言っているので、プリフライトレスポンスのヘッダーをjQueryで操作できればなんとかなるのかなと思いましたが良い方法がわからないので質問します。

###補足情報(言語/FW/ツール等のバージョンなど)
jQuery 2.2.3

Comments

[Lhankor_Mhy]

Access-Control-Allow-Originヘッダってリクエスト側で設定するんでしたっけ？？？

[退会済みユーザー]

レスポンス側で返すと思います。今日ちょうど同じ問題で悩んでる人を見かけたので

[yohira0616]

Access-Control-Allow-Originヘッダを削って(質問のコード修正済)実行しましたが同じ結果になりました。。。http://stackoverflow.com/questions/25727306/request-header-field-access-control-allow-headers-is-not-allowed-by-access-contr　によれば、確かにレスポンス側で設定すべきヘッダですね。

[Lhankor_Mhy]

Access-Control-Allow-Headers Access-Control-Allow-Methods もレスポンス側のヘッダだと思うんですが……

Answer 1

(function ($,window) {
  $(function () {
    $.ajax({
      type:"POST",
      url:"https://awesome-api.server.com/api/login",
      data:JSON.stringify({
        "access_key": "hoge",
        "access_secret": "foo"
      },
      headers:{
        'Content-Type':'application/json'
      })
    }).done(function (data) {
      console.log(data);
    }).fail(function (error) {
      console.log(error);
    });

  })
})(window.jQuery,window);

1. dataに渡す引数をJSON#stringifyする
2. headerをContent-typeのみにする

ことで通信に成功しました。なぜこれで通るのかはわからないですが。。。
https://developer.mozilla.org/ja/docs/HTTP_access_control
を見てCORSについて勉強し直します。

Answer 2

jsonpで返したら拾えると思うんですけどね。

JSONPをごりごり実装するときのポイント | qiita
ここのサーバー側の設定を参考に、jQueryでajaxしてjsonpで取得して整形すればどうかと思います。

Answer 3

クロスドメイン通信に関してはよく分かっていませんが、headerが意図した通りセットされているか、chrome等の開発ツールで、確認してみてはいかがですか？
chromeであれば、開発ツールのNetworkタブで各ファイルに対しての通信を確認することができるので、切り分けになるかと。