GAS『Cross-Origin Error』の原因と対処法

function doGet() {
  return HtmlService
    .createHtmlOutputFromFile('index')
    .setXFrameOptionsMode(HtmlService.XFrameOptionsMode.SAMEORIGIN); // 基本は同一オリジン
}

// index.html（GASが配信するUI内でサーバ関数を呼ぶ）
<script>
  function sendData() {
    google.script.run
      .withSuccessHandler(resp => console.log(resp))
      .serverSide({foo: 'bar'});
  }
</script>

/** GAS側：form-urlencodedを受け取る */
function doPost(e) {
  var p = e.parameter || {};
  var name = p.name || '';
  return ContentService.createTextOutput('ok:' + name)
    .setMimeType(ContentService.MimeType.TEXT);
}

/** フロント側：プリフライトを起こさないPOST */
fetch('https://script.google.com/macros/s/DEPLOY_ID/exec', {
  method: 'POST',
  headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
  body: new URLSearchParams({ name: 'Alice' }) // 文字列化必須
}).then(r => r.text()).then(console.log);

// GAS側
function doGet() {
  return HtmlService.createHtmlOutputFromFile('embed')
    .setXFrameOptionsMode(HtmlService.XFrameOptionsMode.ALLOWALL);
}

// 親ページ（外部サイト）
<iframe id="gas" src="https://script.google.com/macros/s/DEPLOY_ID/exec"></iframe>
<script>
  const frame = document.getElementById('gas').contentWindow;
  window.addEventListener('message', ev => {
    if (ev.origin.endsWith('script.google.com')) {
      console.log('from GAS:', ev.data);
    }
  });
  // 送信
  frame.postMessage({cmd:'ping'}, 'https://script.google.com');
</script>

function callExternal() {
  var res = UrlFetchApp.fetch('https://api.example.com/data');
  return res.getContentText();
}

function doGet() {
  return HtmlService.createHtmlOutput('<script>google.script.run.withSuccessHandler(alert).callExternal()</script>');
}

/** 受信ログを確認（何が届いているか） */
function doPost(e) {
  console.log(JSON.stringify({
    type: e && e.postData && e.postData.type,
    length: e && e.postData && e.postData.length,
    params: e && e.parameter
  }));
  return ContentService.createTextOutput('ok').setMimeType(ContentService.MimeType.TEXT);
}

/** GAS */
function doPost(e) {
  var p = e.parameter || {};
  return ContentService.createTextOutput('hello ' + (p.name || ''))
    .setMimeType(ContentService.MimeType.TEXT);
}

/** フロント（別ドメイン） */
const url = 'https://script.google.com/macros/s/DEPLOY_ID/exec';
fetch(url, {
  method: 'POST',
  headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
  body: new URLSearchParams({ name: 'Taro' })
}).then(r => r.text()).then(console.log).catch(console.error);