Access-Control-Allow-Originの複数指定について

Question

実現したいこと

HeaderにAccess-Control-Allow-Originを設定したいのですが、複数のURLを指定したいです。
(Access-Control-Allow-Origin : "*")ではなく、固有URLを書き並べるイメージです。

イメージ
Access-Control-Allow-Origin : https://hoge.jp, https://fuga.jp, https://hoge.fuga.jp

上記のように書き並べる、もしくは、正規表現などがJavaのsetHeaderでできるのでしたら、その方法をご教授頂きたいです。

前提

Javaアプリケーションで、Servlet内でAccess-Control-Allow-Originの設定をしています。

該当のソースコード

public static void setHeaderMethod(HttpServletRequest req, HttpServletResponse res){
 res.setHeader("Access-Control-Allow-Origin", "https://hoge.jp, https://fuga.jp");
}

試したこと

上記のように、一つの文字列として複数のURLを記載したのですが、ヘッダー情報をみたところ、Access-Control-Allow-Originに設定されていたものは、1つめの「https://hoge.jp」のみとなっていました。

補足情報（FW/ツールのバージョンなど）

Java8
Windows10

最後に

Javaにはしばしば触れているのですが、通信関連に疎いので、実力不足ですが、ご教授のほどよろしくお願いいたします。

情報提供語試したこと

情報提供いただきありがとうございます。
Access-Control-Allow-Originは1つのみ設定できることを理解しました。
そのため、ホワイトリストを予め用意し、その中に含まれるURLの場合はセットするようコードを組みました。

public static void setHeaderMethod(HttpServletRequest req, HttpServletResponse res){
 String Origin ＝ req.getParameter(Origin);
 if(isContainWhitelist(Origin) || Origin == null){
  if(Origin != null){
   res.setHeader("Access-Control-Allow-Origin", Origin);
  }
 res.setHeader("Access-Control-Allow-Methods", ...);
 res.setHeader("Access-Control-Allow-Credentials", ...);
 res.setHeader("Access-Control-Allow-Headers", ...);
 ・・・
}

コードの説明
isContainWhitelist(Origin)で、あらかじめ用意したホワイトリストに含まれるURLかどうかチェックしています。
また、本来はif条件はisContainWhitelist(Origin)のみでよいと思うのですが、null時も中に通す必要がある事情があるため、一度nullも通しています。
中のif分でOriginがnullでない場合はAccess-Control-Allow-Originを動的セットしています。

しかし、
Originがnullとなるリクエストを送った場合、Access-Control-Allow-Originにnullがセットされてしまいます。

Originがnullの場合は、Access-Control-Allow-Originにnullはセットしたくないのですが、そこがうまくいっておりません。

Comments

[SurferOnWww]

質問者さん、回答したのでそれに対するフィードバックを返してください。役に立った/立たなかったぐらいはすぐに返せるのでは？ 役に立たなかったならどこがダメかを書くとより期待に近い回答が出てくるかも。とにかく無言は NG です。

[unity3dbigginer]

SurferOnWwwさん
コメント頂きありがとうございます。
仕事やプライベートが忙しく、こちらを検証する手が回せませんでした。私情に関することなのでご了承ください。

ただいま、情報提供いただいたものを踏まえて、試したことを記載しましたので、ご確認ください。

[SurferOnWww]

> 仕事やプライベートが忙しく、こちらを検証する手が回せませんでした。私情に関することなのでご了承ください。

あなたにも都合があるのは分かりますが、すぐに返事できない事情がある場合は「読んだ。検討する」とかだけでも折り返し言ってもらえるとありがたいです。

> 情報提供いただいたものを踏まえて、試したことを記載しましたので、ご確認ください。

「Access-Control-Allow-Originの複数指定について」はできないということで納得していただき、このスレッドの課題としては解決済みのはずですので、一旦クローズ願います。

ホワイトリスト案の具体的な実装方法の質問については、新たに別スレッドを立てて、やりたいこと（プリフライトリクエストはどうするのかも）と開発環境を詳しく書いて質問していただいた方が、あなたの開発環境に詳しい人の目に留まりやすいと思います。

Answer 1

Access-Control-Allow-Origin : https://hoge.jp, https://fuga.jp, https://hoge.fuga.jp

サーバー側で Origin のホワイトリスト、例えば上の https://hoge.jp, https://fuga.jp, https://hoge.fuga.jp というリストを保持して、クライアントから要求ヘッダで送られてくる Origin がホワイトリストの中に含まれていれば、サーバーから返す Access-Control-Allow-Origin にはクライアントから送られてきた Origin を設定するようにしてはいかがですか。

Answer 2

Access-Control-Allow-Origin に指定できるのは1つだけです。