coop 通过 http 响应头隔离浏览上下文组，使跨源 window.opener 返回 null，防止 xs-leaks；推荐 same-origin restrict-properties 配合 coep 实现跨域隔离，前端可检查 self.crossoriginisolated 并主动置空 opener。
通过设置 Cross-Origin-Opener-Policy（COOP） 响应头，可以有效切断恶意页面对目标窗口的 window.opener 引用，从而防止跨源窥探。关键不是在 HTML 中写标签，而是由服务器在 HTTP 响应中发送正确的头部。
COOP 的核心作用机制
当一个页面（比如银行网站）被另一个跨源页面用 window.open() 打开时，浏览器默认允许新窗口通过 window.opener 反向访问原始页面的 window 对象——这正是 XS-Leaks 和 Spectre 类攻击的入口。COOP 通过强制隔离浏览上下文组（Browsing Context Group），让 opener 引用在跨源情况下返回 null，从根源上断开这种可利用的连接。
推荐配置：same-origin + restrict-properties（2026年主流方案）
截至 2026 年，restrict-properties 是新增且更实用的 COOP 值，它在保持同源交互能力的同时，自动限制 opener 的敏感属性访问：
- 服务端需返回响应头：
Cross-Origin-Opener-Policy: same-origin restrict-properties - 该配置下，同源页面仍可正常读写
window.opener，但跨源 opener 的document、location、localStorage等属性一律不可访问 - 相比旧版
same-origin-allow-popups，它不破坏单点登录、支付跳转等常见弹窗流程，兼容性更好
搭配 COEP 实现完整跨域隔离
仅设 COOP 不足以启用 SharedArrayBuffer 等高危 API，还需配合 Cross-Origin-Embedder-Policy（COEP）：
- 服务端同时返回：
Cross-Origin-Embedder-Policy: require-corp或credentialless - 这意味着所有嵌入资源（如图片、iframe、脚本）必须显式声明跨域许可（例如带
crossorigin属性），否则加载失败 - COOP + COEP 双启用后，浏览器会将该页面标记为“跨域隔离”，此时
window.opener在跨源场景下直接为null，无任何降级路径
前端可做的辅助验证
虽然策略由服务端控制，但前端可在关键页面主动检查隔离状态，增强防御意识：
- 执行
self.crossOriginIsolated，返回true表示已成功启用跨域隔离 - 打开新窗口后，立即检查
newWindow.opener是否为null，若非 null 且来源可疑，可主动调用newWindow.opener = null切断引用 - 避免在 URL 中暴露敏感参数（如 token），因为即使 opener 被隔离，Referer 头仍可能泄露部分路径
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
