PUT の許可と preflight の保存期間を延ばす変更

Cookie を使わない公開 API で、PUT と Authorization ヘッダーを使えるようにし、preflight の結果を 1 日保存させる変更の例です。差分が意図した 3 つだけに収まっているかを確かめます。

入力

A: 変更前の応答ヘッダー

Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type
Access-Control-Max-Age: 600

B: 変更後の応答ヘッダー

Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Max-Age: 86400

リクエストの資格情報(credentials)

なし(Cookie などを送らない)

結果

エラー 0 件・警告 0 件・情報 0 件

指摘(エラー・警告・情報)

指摘はありません。

差分のあるヘッダー	3 項目(全 6 項目中)
A のエラー・警告	エラー 0 件・警告 0 件
B のエラー・警告	エラー 0 件・警告 0 件
判定	A・B ともエラーなし(差分あり)
前提のリクエスト	資格情報なし

ヘッダーごとの差分

ヘッダーごとの差分
ヘッダー	A(変更前)	B(変更後)	差分
Access-Control-Allow-Origin	*	*	同じ
Access-Control-Allow-Credentials	(なし)	(なし)	(どちらもなし)
Access-Control-Allow-Methods	GET, POST	GET, POST, PUT	B で追加: PUT
Access-Control-Allow-Headers	Content-Type	Content-Type, Authorization	B で追加: Authorization
Access-Control-Max-Age	600	86400	A: 600 秒 → B: 86400 秒
Access-Control-Expose-Headers	(なし)	(なし)	(どちらもなし)

検算(この結果になる理由)

資格情報なしなので Allow-Origin の * は問題ありません。Allow-Methods に PUT、Allow-Headers に Authorization が増え、Max-Age が 600 秒から 86400 秒に変わるため、差分は 3 項目、エラーと警告は 0 件です。

判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。

このツールの制約

実際のサーバーへ接続してヘッダーを取得する機能はありません。貼り付けた文字だけを読みます。
Vary: Origin など Access-Control-* 以外のヘッダーとの組み合わせ(CDN のキャッシュを含む)は判定せず、読み飛ばします。
preflight(OPTIONS)の応答か通常の応答かは区別しません。Allow-Methods・Allow-Headers・Max-Age は preflight の応答で使われるヘッダーです。
リクエスト側の Origin・メソッド・ヘッダーとの突き合わせ(この設定で実際にそのリクエストが通るか)まではしません。

ご利用にあたって

結果は Fetch Standard にもとづく読み解きで、個々のブラウザやプロキシ、CDN での実際の動作を保証するものではありません。
本番の設定を変えるときは、検証環境で実際のブラウザの開発者ツールを使い、リクエストが通ることを確認してください。