フィールドの詳細

• DEFAULT_ORIGINS

  @DeprecatedSE
  public static final StringSE[] DEFAULT_ORIGINS

  Spring 5.0 以降は非推奨。CorsConfiguration.applyPermitDefaultValues() に置き換えられました。

• DEFAULT_ALLOWED_HEADERS

  @DeprecatedSE
  public static final StringSE[] DEFAULT_ALLOWED_HEADERS

  Spring 5.0 以降は非推奨。CorsConfiguration.applyPermitDefaultValues() に置き換えられました。

• DEFAULT_ALLOW_CREDENTIALS

  @DeprecatedSE
  public static final boolean DEFAULT_ALLOW_CREDENTIALS

  Spring 5.0 以降は非推奨。CorsConfiguration.applyPermitDefaultValues() に置き換えられました。

• DEFAULT_MAX_AGE

  @DeprecatedSE
  public static final long DEFAULT_MAX_AGE

  Spring 5.0 以降は非推奨。CorsConfiguration.applyPermitDefaultValues() に置き換えられました。

要素の詳細

• value

  @AliasFor(value="origins")
  public abstract StringSE[] value

  origins() のエイリアス。

  デフォルト:

  {}

• origins

  @AliasFor(value="value")
  public abstract StringSE[] origins

  特定のオリジンである許可されたオリジンのリスト。すべての起点に対して "https://domain1.com" または "*"。

  一致したオリジンは、プリフライトの実際の CORS リクエストの Access-Control-Allow-Origin レスポンスヘッダーにリストされています。

  デフォルトでは、すべてのオリジンが許可されています。

  注意 : CORS チェックは、クライアントから発信されたアドレスを反映するために、存在する場合、"Forwarded" （RFC 7239）、"X-Forwarded-Host"、"X-Forwarded-Port"、"X-Forwarded-Proto" ヘッダーの値を使用します。ForwardedHeaderFilter を使用して、抽出して使用するか、このようなヘッダーを破棄するかを中央から選択することを検討してください。このフィルターの詳細については、Spring Framework リファレンスを参照してください。

  関連事項:

  value()

  デフォルト:

  {}

• allowedHeaders

  public abstract StringSE[] allowedHeaders

  実際のリクエストで許可されるリクエストヘッダーのリスト。"*" を使用すると、すべてのヘッダーを許可できます。

  許可されたヘッダーは、プリフライトリクエストの Access-Control-Allow-Headers レスポンスヘッダーにリストされています。

  CORS 仕様に従って、Cache-Control、Content-Language、Expires、Last-Modified または Pragma のいずれかである場合、ヘッダー名をリストする必要はありません。

  デフォルトでは、リクエストされたすべてのヘッダーが許可されます。

  デフォルト:

  {}

• exposedHeaders

  public abstract StringSE[] exposedHeaders

  ユーザーエージェントがクライアントに実際のレスポンスでのアクセスを許可するレスポンスヘッダーのリスト。「単純な」ヘッダー、つまり Cache-Control、Content-Language、Content-Type、Expires、Last-Modified または Pragma 以外

  公開されたヘッダーは、実際の CORS リクエストの Access-Control-Expose-Headers レスポンスヘッダーにリストされます。

  デフォルトでは、公開されているヘッダーは表示されません。

  デフォルト:

  {}

• methods

  public abstract RequestMethod[] methods

  サポートされる HTTP リクエストメソッドのリスト。

  デフォルトでは、サポートされているメソッドは、コントローラーメソッドがマップされているメソッドと同じです。

  デフォルト:

  {}

• allowCredentials

  public abstract StringSE allowCredentials

  ブラウザーが、ドメイン間リクエストとともに Cookie などの資格情報をアノテーション付きエンドポイントに送信するかどうか。構成された値は、プリフライトリクエストの Access-Control-Allow-Credentials レスポンスヘッダーに設定されます。

  注意 : このオプションは、構成されたドメインとの高レベルの信頼を確立し、Cookie や CSRF トークンなどのユーザー固有の機密情報を公開することにより、Web アプリケーションの表面攻撃を増やすことに注意してください。

  デフォルトでは、これは設定されていません。その場合、Access-Control-Allow-Credentials ヘッダーも設定されないため、資格情報は許可されません。

  デフォルト:

  ""

• maxAge

  public abstract long maxAge

  プリフライトレスポンスのキャッシュ期間の最大経過時間（秒単位）。

  このプロパティは、プリフライトリクエストの Access-Control-Max-Age レスポンスヘッダーの値を制御します。

  これを適切な値に設定すると、ブラウザーが必要とするプリフライトリクエスト / レスポンス対話の数を減らすことができます。負の値は未定義を意味します。

  デフォルトでは、1800 秒（30 分）に設定されています。

  デフォルト:

  -1L