IT用語
別のドメイン（オリジン）のデータを、JavaScriptから取得してよいかをサーバー側で許可する仕組み。
- 別名・略称
- オリジン間リソース共有
CORS（Cross-Origin Resource Sharing：オリジン間リソース共有）は、あるサイトで動く JavaScript が、別のオリジン（スキーム・ドメイン・ポートの組み合わせ）のサーバーからデータを取得してよいかを、サーバー側で許可する仕組みです。
なぜ必要なのか
ブラウザには、別のオリジンのデータを JavaScript から勝手に読み取れないようにする仕組み（同一オリジンポリシー）があります。これがないと、悪意のあるサイトが、利用者がログインしているほかのサイトのデータを読み取れてしまいます。CORS は、この制限を、サーバーが許可した相手にだけ安全に緩めるための仕組みです。
仕組み
サーバーは、Access-Control-Allow-Origin などのレスポンスヘッダーで、データを読み取ってよいオリジンを伝えます。Cookie を送るリクエストや、特定のメソッド・ヘッダーを使うリクエストでは、ブラウザが事前に確認のリクエスト（プリフライト）を送ります。
よくあるエラー
「CORS policy によってブロックされました」というエラーは、ブラウザが制限をかけたものです。解決するには、取得先のサーバーで許可の設定をする必要があります。
セキュリティ上の注意
- Access-Control-Allow-Origin に「*」を指定したり、リクエストのオリジンをそのまま許可したりすると、どのサイトからでも読み取れてしまう
- 認証が必要なデータは、許可するオリジンを明示的に限る
