Java ServletのHttpServlet#doOptionsメソッド完全ガイド！初心者でもわかるOPTIONSリクエストの基本と使い方

HttpServletのdoOptionsメソッド

教材紹介 Java学習のおすすめ教材

Javaの基礎を体系的に整理しながら学習したい方には、資格対策としても定評のある定番教材が参考になります。

Javaプログラマ Silver SE 17 教科書をAmazonで見る

※ Amazon広告リンク

先生と生徒の会話形式で理解しよう

生徒

「ServletでブラウザがどんなHTTPメソッドを使えるか確認する方法ってありますか？」

先生

「はい、それにはOPTIONSリクエストを使います。JavaのHttpServletクラスではdoOptions()メソッドで処理できますよ。」

生徒

「OPTIONSってあまり聞いたことないんですが、実際にどう使うんですか？」

先生

「それでは、doOptions()の役割や使い方を詳しく見ていきましょう。」

1. doOptionsメソッドとは

doOptions()メソッドは、JavaのHttpServletクラスでHTTPのOPTIONSリクエストを処理するために用意されたメソッドです。

OPTIONSは、あるリソースに対してどのHTTPメソッド（GET、POST、PUT、DELETEなど）が許可されているかを確認するために使われます。

主にCORS（クロスオリジンリソースシェア）やREST APIの開発時に使用され、クライアントが事前にサーバーの対応状況を把握する目的で利用されます。

2. OPTIONSリクエストの用途と特徴

OPTIONSリクエストは、以下のような用途で使われます。

対応しているHTTPメソッドの確認
CORSの事前検証（プリフライトリクエスト）
API仕様の確認

特にモダンなWebアプリケーションでは、JavaScriptが他ドメインのAPIを利用することが増えており、そのときにOPTIONSリクエストが自動的に送られる場合があります。

3. doOptionsの基本的な実装方法

doOptions()メソッドをServletでオーバーライドすると、どのHTTPメソッドが利用可能かをレスポンスヘッダーで明示することができます。


import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class OptionsServlet extends HttpServlet {
    @Override
    protected void doOptions(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
        response.setHeader("Allow", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Allow-Headers", "Content-Type");
    }
}

このコードでは、対応するHTTPメソッドをAllowヘッダーに指定し、CORSに必要なヘッダーも付け加えています。

サーブレットやJSPの基礎を体系的に理解したい人には、定番の入門書がこちらです。

スッキリわかるサーブレット＆JSP入門をAmazonで見る

※ Amazon広告リンク

4. AllowヘッダーとCORSの設定

Allowヘッダーは、クライアントに対してこのエンドポイントで利用可能なHTTPメソッドを伝える重要な情報です。

また、CORS対応のためには、次のようなヘッダーが必要になることがあります。

Access-Control-Allow-Origin：どのドメインからのアクセスを許可するか
Access-Control-Allow-Methods：許可するHTTPメソッドの一覧
Access-Control-Allow-Headers：許可するリクエストヘッダー

これらの設定がないと、ブラウザからのAjax通信がブロックされてしまうことがあります。

5. OPTIONSリクエストの実行例

OPTIONSリクエストはcurlコマンドを使って簡単にテストできます。


curl -X OPTIONS -i http://localhost:8080/myapp/options

このリクエストを実行すると、レスポンスヘッダーにAllowなどの情報が含まれていることを確認できます。

6. doOptionsが使われるユースケース

doOptions()メソッドは次のような場面で活躍します。

Java ServletによるREST API開発
JavaScriptやAjaxとの連携時のCORS制御
SPA（シングルページアプリケーション）とJavaバックエンドの連携
フロントエンドとの事前通信確認

特にAPI設計において、CORS設定がうまくいかないと、クライアント側で通信エラーが発生するため、doOptions()の正しい実装が重要です。

7. HttpServletのdoOptionsのデフォルト動作

HttpServletクラスでは、doOptions()がデフォルトで実装されており、自動的にAllowヘッダーを生成します。

ただし、自分でdoGet()やdoPost()などをオーバーライドした場合、それがOPTIONSのレスポンスに反映されないことがあります。

そのため、明示的にdoOptions()をオーバーライドして、最新の仕様に合わせたヘッダーを返すのが望ましいです。

8. セキュリティ上の注意点

doOptions()でCORS設定を緩くしすぎると、セキュリティ上のリスクが生じることがあります。

たとえば、Access-Control-Allow-Originを*に設定すると、すべての外部サイトからアクセス可能になります。そのため、実際のサービスでは必要なドメインだけを指定するのがベストです。

また、Access-Control-Allow-Headersに認証情報などを含める場合には慎重に設計しましょう。