質問: Win10でie11のウェブブラウザを使っていて、 Webサーバ上にWebアプリケーションを作っています。 オンプレ上のあるWebサーバのページのボタンを 押下すると、新しいウインドウを開き別のクラウド Webサーバ上にPOSTでアクセスします。 アクセスしたWebサーバからは、リダイレクト 命令が埋め込まれたページが返り、次のページを GETで表示します。 このとき、クロスドメインの警告は出力されるのでしょうか? 最初のPOSTアクセス、新しいウインドウを開いた 後のリダイレクトアクセスのどちらかで、クロスドメインの 警告が出るかもしれないと思っているのですが、正確な 動きが分かりません。
回答: 結論から言えばCORSの制約は受けないかと思います。 > > ボタンを押下すると、新しいウインドウを開き別のクラウドWebサーバ上にPOSTでアクセスします。 > > > 単純にフォーム(`target="_blank" method="post"`)上のボタンの`action`を別オリジンとすると仮定すると、これは問題なく利用できます。(これを利用している仕様(例えばSAML)もいくつもありますし、CSRF対策が別途必要なのもこの通りです。) もし、POSTするというのがajaxなのなら話は変わりますが、質問文からはそうとは読めませんでした。 > > アクセスしたWebサーバからは、リダイレクト命令が埋め込まれたページが返り、次のページをGETで表示します。 > > > これも単純に`Location`ヘッダーでリダイレクト、metaタグでリダイレクト、JSで`location.href`/`location.replace`等を利用してリダイレクトなど一般的な方法はいくつもあるでしょうがいずれもCORSには関係しません。 ......認可フローでは割と一般的に使われる組み合わせかもしれませんね。外部オリジンにPOSTしてその後のリダイレクトというのは。(SAMLとかまさにそんな感じです。)