原文はこちら。
The original article was written by Tim Quinn (Oracle).
https://medium.com/helidon/helidon-2-0-and-cors-14f34e2b1d17

新たにリリースされたHelidon 2.0から、簡単にCORSサポートをアプリケーションや、Health、Metrics、OpenAPIというHelidonの組み込みサービスに追加できるようになりました。

Helidon
https://helidon.io

ブラウザやその他のよくあるWebクライアントに実装されている、同一オリジンポリシー (same-origin policy) は、あるオリジン（URLスキーム、ホスト、ポート）のページやアプリが他のオリジンのリソースにアクセスすることを制限するものです。

Same Origin Policy
https://www.w3.org/Security/wiki/Same_Origin_Policy

しかし特定のケースでは、この制限を緩和することに意味がある場合があります。クロスオリジンリソース共有 (Cross-origin resource sharing, CORS) は、HTTPヘッダーを使用した標準的なアプローチで、Webクライアントとサーバーが、別のオリジンのリソースに代わって、あるオリジンからのリソースへの管理されたアクセスを許可(または拒否)するように要求するものです。

Fetch
https://www.w3.org/TR/cors/

最新のHelidon 2.0で、Helidon SEやHelidon MPのアプリケーションのエンドポイントや、Health、Metrics、OpenAPI などのHelidon組み込みサービスのエンドポイントにCORSサポートを簡単に追加できるようになりました。

About CORS in Helidon SE
https://helidon.io/docs/latest/#/se/cors/01_introduction
About CORS in Helidon MP
https://helidon.io/docs/latest/#/mp/cors/01_introduction

以下のサンプルアプリはHelidonのgreetingというサンプルアプリに触発されたものです。

Helidon SE CORS Example
https://github.com/oracle/helidon/tree/release-2.0.1/examples/cors
Helidon MP CORS Example
https://github.com/oracle/helidon/tree/release-2.0.1/examples/microprofile/cors

この例では、 http://foo.com と http://there.com のリソースからのサンプルアプリへのPUT、DELETEアクセスを許可する一方で、その他の全てのオリジンに対してはGETやHEADなどのシンプルなアクセスを許可します。

CORS in Helidon SE

pom.xmlに依存関係を追加します。

<dependency>
  <groupId>io.helidon.webserver</groupId>
  <artifactId>helidon-webserver-cors</artifactId>
</dependency>

コードにCorsSupportインスタンスを作成する

アプリのリソースに必要なCORSの動作を表す、CorsSupportオブジェクトを作成します。2つのCrossOriginConfigオブジェクトを使用しますが、一方はPUTとDELETEアクセス用、もう一方はその他のすべてのアクセス用です。

CorsSupport corsSupport = CorsSupport.builder()
    .addCrossOriginConfig(CrossOriginConfig.builder()
        .allowOrigins("http://foo.com", "http://there.com")
        .allowMethods("PUT", "DELETE")
        .build())
    .addCrossOriginConfig(CrossOriginConfig.create())
        .build();

CorsSupportインスタンスの利用

アプリケーションのパスへのルーティングを構成する、同じregisterメソッドの呼び出しでCorsSupportインスタンスを使います。

return Routing.builder()
    .register(JsonSupport.create())
    .register(health)                  // Health at "/health"
    .register(metrics)                 // Metrics at "/metrics"
    .register("/greet", corsSupport, greetService)
    .build();

アプリケーションのリビルド、再起動でおしまいです。アプリで実際に CORS サポートを確認する簡単な方法を以下でご紹介します。

CORS in Helidon MP

pom.xmlに依存関係を追加します。

<dependency>
  <groupId>io.helidon.microprofile</groupId>
  <artifactId>helidon-microprofile-cors</artifactId>
</dependency>

@CrossOriginアノテーションの利用

JAX-RSリソースクラスで、HTTP OPTIONSリクエスト用のno-opメソッドを追加し、そこに注釈を付けます。

@OPTIONS
@CrossOrigin(
    allowMethods = {"PUT", "DELETE"}, 
    allowOrigins = {"http://foo.com", "http://there.com"})
public void optionsForGreeting() {}

その後、アプリをリビルド、再起動します。

Trying it out (SE and MP)

cURLを使って、アプリのエンドポイントに対するHelidonのCORSサポートを実際に試してみましょう。以下のコードスニペットでは、CORS関連のヘッダーを強調しています。

GETやHEADのような簡単なオペレーションでは、CORSは常のHTTPリクエストにヘッダーを追加するだけです。

curl -i -X GET \
   -H "Origin: http://foo.com" -H "Host: here.com" \
   http://localhost:8080/greet

そのレスポンスは以下のようです。

HTTP/1.1 200 OK
Access-Control-Allow-Origin: *
Content-Type: application/json
Date: Thu, 30 Apr 2020 17:25:51 -0500
Vary: Origin
connection: keep-alive
content-length: 27

{"greeting":"Hello World!"}

いわゆるシンプルでない、アプリケーションのサーバー側の状態が変化する可能性のあるオペレーションの場合、CORSはpre-flightリクエストを使用して、クライアントが宣言した希望のアクセスをサーバーに「事前承認」させます。通常ブラウザはpre-flightリクエストの送信（とレスポンスのチェック）を見えないように実施しますが、以下のcURLコマンドではこのステップをシミュレートしています。

curl -i -X OPTIONS \
    -H "Access-Control-Request-Method: PUT" \
    -H "Origin: http://foo.com" \
    -H "Host: here.com" \
    http://localhost:8080/greet/greeting

リクエストされたCORSに問題がないことを示しています。

HTTP/1.1 200 OK
Access-Control-Allow-Methods: PUT
Access-Control-Allow-Origin: http://foo.com
Date: Thu, 30 Apr 2020 17:30:59 -0500
transfer-encoding: chunked
connection: keep-alive

この時点で、クライアントは所望のPUTリクエストを発行します。この例では挨拶のことばを変更するためにPUTリクエストを発行しています。

curl -i -X PUT \
    -H "Origin: http://foo.com" \
    -H "Host: here.com" \
    -H "Access-Control-Allow-Methods: PUT" \
    -H "Access-Control-Allow-Origin: http://foo.com" \
    -H "Content-Type: application/json" \
    -d "{ \"greeting\" : \"Cheers\" }" \
    http://localhost:8080/greet/greeting

サーバーは通常通り応答します。

HTTP/1.1 204 No Content
Access-Control-Allow-Origin: http://foo.com
Date: Thu, 30 Apr 2020 17:32:55 -0500
Vary: Origin
connection: keep-alive

Bottom Line

わずかな追加コードで、Helidon SEやHelidon MPのアプリケーションのエンドポイントがCORSプロトコルに参加できます。そして、ここでは重要なポイントだけを紹介しますが、設定を使用して、CORS関連の変更がさらに簡単にできます。

さらに、アプリケーションにエンドポイントを追加するHelidonの組み込みサービス（health、metrics、OpenAPI）のCORSも簡単に有効化して制御できます。

完全な情報は以下のドキュメントをご覧ください。

About CORS in Helidon SE
https://helidon.io/docs/latest/#/se/cors/01_introduction
About CORS in Helidon MP
https://helidon.io/docs/latest/#/mp/cors/01_introduction