C# ASP.NET WebAPIでCORSの問題を解決する方法を徹底解説

CORS（クロスオリジンリソースシェアリング）とは

クロスオリジンリソースシェアリング（Cross-Origin Resource Sharing：CORS）は、追加のHTTPヘッダーを使用して、あるオリジンで動作しているWebアプリケーションに対し、別のオリジンにある選択されたリソースへのアクセスを許可するようブラウザに指示する仕組みです。Webアプリケーションは、自身とは異なるオリジン（ドメイン、プロトコル、ポート）のリソースを要求する際に、クロスオリジンHTTPリクエストを実行します。

例として、フロントエンド（UI）とバックエンド（サービス）を持つアプリケーションを考えてみましょう。フロントエンドがhttps://demodomain-ui.comから提供され、バックエンドがhttps://demodomain-service.com/apiから提供されている場合、セキュリティ上の理由により、ブラウザはUIから発信されるクロスオリジンHTTPリクエストを制限します。そのため、エンドユーザーは正常にアプリケーションへアクセスできなくなります。

この問題を解決するためにCORS標準が必要となります。CORSを利用することで、サーバー側は「誰が」アセットにアクセスできるかだけでなく、「どのように」アクセスできるかまで細かく指定できます。クロスオリジンリクエストは標準的なHTTPリクエストメソッドを使って送信されます。多くのサーバーはGETリクエストを許可し、外部オリジン（Webページなど）からのリソース読み取りを認めています。一方、PATCH、PUT、DELETEなどのメソッドについては制限がかかることがあります。CORS標準で使用される主なHTTPヘッダーは以下の通りです。

• Access-Control-Allow-Origin
• Access-Control-Allow-Credentials
• Access-Control-Allow-Headers
• Access-Control-Allow-Methods
• Access-Control-Expose-Headers
• Access-Control-Max-Age
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Origin

グローバルレベルでCORSを有効化する

まず、NuGetパッケージマネージャーからMicrosoft.AspNet.WebApi.Corsをインストールします。

次に、App_Start/WebApiConfig.csファイルを開き、WebApiConfig.Registerメソッド内に以下のコードを追加します。

これにより、アプリケーション全体のすべてのWeb APIコントローラーに対してCORSポリシーが適用されます。

コントローラーレベル・アクションレベルでCORSを有効化する

アプリケーション全体ではなく、特定のコントローラーやアクションメソッド単位でCORSを有効化することも可能です。以下のように[EnableCors]属性を付与します。

using System.Web.Http;
using System.Web.Http.Cors;
namespace DemoWebApplication.Controllers{
    [EnableCors("*", "*", "*")] // コントローラーレベル
    public class DemoController : ApiController{
        [EnableCors("*", "*", "*")] // アクションレベル
        public IHttpActionResult Get(int id){
            return Ok();
        }
    }
}

[EnableCors]属性の3つの引数は、それぞれ「許可するオリジン」「許可するリクエストヘッダー」「許可するHTTPメソッド」を表しています。上記の例では「*」を指定しているため、すべてのオリジン・ヘッダー・メソッドが許可されます。本番環境では、セキュリティを考慮して具体的なドメイン名や必要なメソッドのみを指定することが推奨されます。

また、逆に特定のコントローラーやアクションでCORSを無効化したい場合は、[DisableCors]属性を使用します。これにより、グローバル設定や上位レベルで有効化されたCORSポリシーを個別に除外できます。