Safariの参照元とプリフライトリクエストヘッダーがユーザーの移動時に変更されない

Question

a.example.comとb.exampleの2つのWebページがホストされています。各Webページには、<script>タグ付きのスクリプトが含まれ、別のドメインでホストされ、正しいCORSヘッダーが提供されます。

ある時点で、a.example.comからb.example.comに移動します。

Safariがここに奇妙な行動を持っている：プリフライトリクエストでreferrerとoriginヘッダはAccess-Control-Allow-Originで不正な値を送信するサーバを作り、a.example.comで満たされている（ので、スクリプトが実行できません）。

Safariブラウザにこのようなシナリオで正しいoriginヘッダーを送信させる方法はありますか？

Answer 1

スクリプトのキャッシュポリシーにはVary: Originが含まれていますか？

b.example.comに移動した後、実際に別のリクエストがありますか？

もしそうでなければ、ポリシーがリソースへのアクセスを禁止しているにもかかわらず、Safariが実際にキャッシュからスクリプトを提供している可能性があります。キャッシュポリシーが正しく設定されていない場合、適合する動作です。

Answer 2

実際にSafariのバグだったようです。

Safari 10.0ではこの問題は再現できません。それはSafari 9.1.1/9.1.3のみで再現されます。