<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr">We've deployed the GEANT OIDC extension and we have angular developers who are asking us to allow CORS requests against all of the URLs exposed by the extension.<div><br></div><div>I've looked at some of commercial and social providers and see that support is mixed (google and MS seem to support it, salesforce doesn't, etc).</div><div><br></div><div>Our IDP is running behind an apache httpd proxy.</div><div><br></div><div>I'm hesitant to permit unrestricted access ("Access-Control-Allow-Origin: *"), but allowing CORS /seems/ like a reasonable request?</div><div><br></div><div>I'm considering adding this to the OIDC urls ("/oidc/", "/idp/profile/oidc/", and "/.well-known/openid-configuration")</div><div><div>        SetEnvIf Origin "^http(s)?://(.+\.)?(localhost|umich\.edu)(:[0-9]+)?$" origin_is=$0<br></div><div>        Header always set Access-Control-Allow-Origin %{origin_is}e env=origin_is</div><div><br></div></div><div>Does that seem reasonable?</div><div><br></div><div>Liam</div></div></div></div></div></div>