先生と生徒の会話形式で理解しよう

生徒

「C#でAPIを作ったのですが、別の場所にあるWebサイトからデータを読み込もうとするとエラーが出てしまいます。どうすればいいですか？」

先生

「それはCORSという仕組みが原因ですね。セキュリティのために制限がかかっている状態です。」

生徒

「CORSとは何ですか？また、C#でどうやって解決するのですか？」

先生

「CORSの基礎知識から、C#（ASP.NET Core）での設定方法まで、一つずつ丁寧に解説していきましょう。」

1. CORSとは何か？初心者にもわかる基本解説

CORS（コルズ）とは、Cross-Origin Resource Sharingの略で、日本語では「オリジン間リソース共有」といいます。これだけだと難しく感じるので、身近な例えで説明します。

例えば、あなたが自分専用の家（サーバー）に大切なお宝（データ）を保管しているとします。通常、家の中のお宝は、家族やあなたしか見ることができません。しかし、友達の家（別のWebサイト）から、あなたの家にあるお宝を勝手に覗き見しようとしたら、防犯上の理由で「ダメです！」と拒否されますよね。これが、Webの世界でいう「オリジン（Webサイトの場所）が異なる」ことによる制限です。

ブラウザというインターネットを閲覧するためのソフトは、安全を守るために、異なる場所からのデータアクセスを基本的に禁止しています。しかし、APIを開発していると、特定の信頼できるサイトからはデータを使ってもらいたい場面が出てきます。その時に、「このサイトからのアクセスなら許可しますよ」とルールを定めるのがCORS設定です。

2. API開発におけるCORSの重要性とセキュリティ

WebAPIは、サーバー側でデータを処理し、結果をJSONという形式で返す仕組みです。このAPIをいろいろなWebサイトやアプリから利用できるようにしたい場合、CORSの設定が欠かせません。

もしCORSのルールが全くなかったらどうなるでしょうか。悪意のあるWebサイトが、あなたのブラウザ経由で、あなたがログインしている銀行サイトやSNSのAPIに対して、勝手にデータを送信したり削除したりする命令を送る可能性があります。これを防ぐのがブラウザの強力なセキュリティガードです。CORSは単なるエラーの原因ではなく、インターネットの安全を保つための大切な門番のような存在であることを理解しておきましょう。

3. ASP.NET CoreでのCORS基本設定

C#でAPIを構築するフレームワーク、ASP.NET Coreでは、CORSの設定を簡単に行うことができます。まずは、プログラムの開始地点である「Program.cs」というファイルで、CORSのルールを作成（登録）する必要があります。

以下のコードは、特定のWebサイトからのアクセスだけを許可する基本的な設定です。


var builder = WebApplication.CreateBuilder(args);

// CORSのポリシーを作成する
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowSpecificOrigin",
        policy =>
        {
            policy.WithOrigins("https://www.example.com")
                  .AllowAnyHeader()
                  .AllowAnyMethod();
        });
});

var app = builder.Build();

このコードでは、「AllowSpecificOrigin」という名前のルールを作っています。WithOriginsはアクセスを許可するWebサイトの住所、AllowAnyHeaderはどんな種類の情報も送って良いこと、AllowAnyMethodはデータの取得や送信など全ての操作を許可することを意味しています。

4. 設定したCORSをアプリケーションに適用する

先ほど作成したルールは、まだ定義しただけで、実際にプログラムの中では使われていません。次に、このルールをWebサーバーの動作の中に組み込んでいく必要があります。これも「Program.cs」の中で行います。


// ルールを適用する
app.UseCors("AllowSpecificOrigin");

app.MapControllers();

app.Run();

このように app.UseCors を記述することで、APIへのリクエストが来た時に、先ほど定義した「AllowSpecificOrigin」というルールが自動的にチェックされます。この行を追加し忘れると、ルールを作成していてもブラウザはアクセスを許可してくれないので注意が必要です。順序としては、コントローラーを動かす指示（MapControllers）の前に書くのが基本です。

5. 開発環境と本番環境でのCORS設定の違い

開発中のパソコン（ローカル環境）では、どんなアクセスも許可してテストしたいことがあります。しかし、インターネット上に公開する本番環境では、許可するサイトを限定しなければセキュリティ事故につながります。

環境に応じて設定を切り替えるには、以下のように書くことができます。


if (app.Environment.IsDevelopment())
{
    // 開発時はすべて許可する
    app.UseCors(policy => policy.AllowAnyOrigin().AllowAnyHeader().AllowAnyMethod());
}
else
{
    // 本番時は厳密なルールを適用する
    app.UseCors("AllowSpecificOrigin");
}

このように「もし開発環境なら」という条件分岐（if文）を使うことで、安全かつ効率的な開発が可能になります。プログラミングの学習において、このような環境ごとの切り替えは非常に重要な知識です。

6. CORS設定がうまくいかない時のトラブルシューティング

「設定したのにまだエラーが出る！」という時は、いくつか確認すべきポイントがあります。まず、ブラウザの開発者ツール（F12キーで開く画面）のコンソールを確認してください。「CORS error」と書かれていれば、間違いなくCORSの設定か、許可しているURLが間違っています。

よくあるミスは、URLの最後にスラッシュ（/）が入っているかいないか、httpとhttpsのどちらを指定しているか、という細かい違いです。文字列は一文字でも異なると別の場所として扱われます。また、サーバー側で例外が発生していて、CORSのエラーに見えているだけのケースも存在します。エラーメッセージをしっかり読み解くことが、プログラミングスキル上達の近道です。

7. API通信を支えるCORSの仕組みを深く知る

最後に、裏側で何が起きているか少しだけ紹介します。ブラウザは、実はサーバーにいきなりデータを送る前に、「プリフライトリクエスト」という確認の信号を投げます。「これからこのデータを送りたいんだけど、許可されていますか？」という問い合わせです。

サーバー側は、これに対して「はい、そのサイトならOKです」という回答（HTTPヘッダー）を返します。このやりとりが成功した後に、実際のデータのやりとりが始まります。もしサーバーが「ダメです」と答えたり、返事がなかったりすると、ブラウザは即座に通信を中断します。この一連の流れが、今のWebアプリが安全に動いている理由です。C#でのAPI開発を極めるために、こうしたネットワークの基本知識もあわせて学習していくと、より深いレベルでの開発ができるようになります。