クロスオリジンなXMLHttpRequest2(XHR2)と独自ヘッダの落とし穴?

2011/5/10 以下の訂正をしました。 s/prefetch/preflight/g JavaScriptのクロスドメイン通信で微妙な話があったので書いてみます。ちなみにクライアントサイドJavaScriptの話です。下記仕様に敬意を表して以下ではクロスオリジンと書きます。一般にクロスドメイン通信と呼ばれているものと同じ意味で使います。 Cross-Origin Resource Sharing XMLHttpRequest2(XHR2) WebブラウザからXMLHttpRequest(XHR)で外部のWeb APIを直接叩こうとするとクロスオリジンの制限に当たります。制限の必要性は次の説明がわかりやすいのでリンクを張っておきます。 Same-Originポリシーの必要性 クロスオリジン制限がある中でWebブラウザから直接Web APIを叩こうと先人は知恵を絞ってきました。iframe

[hasegawayosuke]

もしかして：preflight ? // あと、XHR Lv2 つかうときは withCredentials とかも注意ね。// クロスドメインとクロスオリジンは違うよ。オリジンの場合、ポート、スキームも同一である必要がある。

[edvakf]

「prefetchと呼ばれるフローがあるのが原因です」"preflight" ですね。え？？ってなった。何にせよ Prototype.js 側で対策されるべき問題だと思う。中の人は把握してると思うけど…

[tkpyoi]

クロスオリジンのリクエストを許可するには mod_header でHeader append Access-Control-Allow-Origin * すれば良い。

[side_tana]

"JSONPはなにか違います"わかる

[paz3]

JavaScriptで別サイトへの通信（クロスドメイン通信、クロスオリジン通信）をする方法についての考察。JSONPはハック臭がする、Cross-Origin Resource Sharing (CORS)は独自拡張ヘッダで行儀が悪い、postMessageが本命とのこと。

[yuiseki]

Access-Control-Allow-Origin

[escape_artist]

Authorizationヘッダ送れなくて困ってるなう。

[sugimori]

XHR2って微妙だったのか。残念。

[tlync]

iframe が登場してくる時点でハック的な感じがしてしまう