Apacheのクロスドメイン設定：一部のサブドメイン以外を非許可に設定

この問題、IT業界3年生には....少し、ハイレベルなため、力を貸してほしいです。

条件
サーバーサイド：筐体上に存在するドメイン以外のアクセスを弾く
フロントサイド：ajax(xhr)通信で非同期にcgiの結果を取得

状況
設定を書き込んでいるはずが、実質
header append Access-Control-Allow-Origin = '*'
と同じ挙動で、どのドメインからでもアクセスできる。

ソース
.htaccess

SetEnvIf Origin "^https?://(www..*.subdomain.co.jp|012.345.678.910:80)$" http_origin=$0
Header set Access-Control-Allow-Origin %{http_origin}e env=http_origin

jabascript

jabascript
1$.ajax({
2    url:'//www.abcd.subdomain.co.jp/cgi-bin/Suggest.cgi',
3    type:'get',
4    cache:false,
5    dataType:'json'
6});

やりたいこと
1.Apacheの.htaccessで指定されたorigin以外からのアクセスを弾きたい
2.設定するoriginは、IFのような条件分岐で、正規表現とmatchする場合のみ値を返すようにしたい

このような感じです。

本日は、これで業務を終了しますので、明日、回答を読ませていただきたいと思います。
お急ぎでレスを投げて下さる方もいらっしゃるかとは、思いますが、
何卒、ご容赦くださいませ。

追記
おはようございます。
本文中に一部、誤字脱字がありましたので、修正加筆致しました。

以下、情報整理

一度、整理致します。

ソース
.htaccess

SetEnvIf Origin "^https?://(www..*.subdomain.co.jp|012.345.678.910:80)$" http_origin=$0
Header set Access-Control-Allow-Origin %{http_origin}e env=http_origin

javaScript

javaScript
1$.ajax({
2    url:'//www.dcba.subdomain.co.jp/cgi-bin/Suggest.cgi',
3    type:'get',
4    cache:false,
5    dataType:'json'
6});

headerの内容
・指定外(つもり？)のオリジンからのアクセス

request heddas
1.Request URL:http://www.dcba.subdomain.co.jp/cgi-bin/Suggest.cgi?_=0123456789
2.origin:http://hogehoge.jp
response headers
1.Access-Control-Allow-Origin:http://hogehoge.jp
コンソールログ
1.XMLHttpRequest cannot load http://www.dcba.subdomain.co.jp/cgi-bin/Suggest.cgi?_=0123456789. Request header field X-Requested-With is not allowed by Access-Control-Allow-Headers in preflight response.

・指定した(つもり？)のオリジンからのアクセス

request heddas
1.Request URL:http://www.dcba.subdomain.co.jp/cgi-bin/Suggest.cgi?_=0123456789
2.origin:http:www.abcd.subdomain.co.jp
response headers
1.Access-Control-Allow-Origin:http:www.abcd.subdomain.co.jp
コンソールログ
1.なし

以上が現状、出ている情報です。
過不足は、対処いたしますので、御申しつけ下さい。

ついては、この状態、上記しました"やりたいこと"が出来ている状態なのでしょうか？
お分かりになれば、ご回答をいただけると幸いです。

行動規範の内容に同意します

回答1件

ベストアンサー

url:'//abcd.subdomain.co.jp/cgi-bin/Suggest.cgi'
このアクセスでは、Access-Control-Allow-Originヘッダーは付かなくないですか？

http(s)://www.(任意の文字).subdmain.co.jp
または
http(s)://012.345.678.910:80
しかAccess-Control-Allow-Originヘッダーを付けないことになってますが。

chromeなどのデベロッパーツールでヘッダーが確認できますので、見てみたらどうでしょうか。
もしかしたら、別のところで、Access-Control-Allow-Origin: *が指定されてません？

投稿2016/07/12 08:02

shi_ue

総合スコア4437

tama_yn0815

2016/07/12 09:02 編集

回答、ありがとうございます。自分(指定された筐体)のサブドメインからは、アクセスできてます。念のため、ご説明すると、私の記述ミスです。 ×url:'//abcd.subdomain.co.jp/cgi-bin/Suggest.cgi' ↓ ○url:'//www.abcd.subdomain.co.jp/cgi-bin/Suggest.cgi' また、Access-Control-Allow-Originの設定をしているのは、こちらのcgiが置かれている配下のみです。 Access-Control-Allow-Originが付かないというのは、そもそも、サブドメイン以外のページからのアクセスを弾けていないってことでしょうか？すみません、もしかするとクロスドメインの概念を捉え違えているかもしれないです。ちなみに、外部(別ドメインのページ)から、ajaxで通信をするとヘッダーのレスポンスが、以下のようになっています。 response headers Access-Control-Allow-Origin:http://hogehoge.jp request headers Origin:http://hogehoge.jp 追記：すみません、今、確認できたのですが、 XMLHttpRequest cannot load http://www.abcd.subdomain.co.jp/cgi-bin/Suggest.cgi?_=1234567890. Request header field X-Requested-With is not allowed by Access-Control-Allow-Headers in preflight response. このエラーがコンソールに出るってことは、外(指定されたオリジン以外)からアクセスした時、サーバー側で処理を弾けているのでしょうか？後出しで、申し訳ないですが、ご教示願います。