Nginx 安全接入：如何通过 cross-origin 隔离策略防范高危的跨源资源共享数据泄漏

要安全接入跨源资源，关键在于启用跨源隔离机制，即通过Nginx配置COEP（require-corp）、COOP（same-origin）和CORP（same-site或cross-origin）三层策略协同生效，配合严谨的CORS与预检响应，方可启用SharedArrayBuffer等敏感API并防范侧信道攻击。

要安全接入跨源资源，不能只靠 Access-Control-Allow-Origin 这一类基础 CORS 头——它解决的是“能不能访问”，而非“会不会被滥用”。真正防范高危数据泄漏，关键在于启用现代浏览器强制的 跨源隔离（Cross-Origin Isolation） 机制，配合 Nginx 的三层策略协同生效。

启用跨源嵌入器策略（COEP）

COEP 阻止页面加载未明确授权的跨源资源（如脚本、iframe、图片），避免敏感信息通过侧信道（如 Spectre 类攻击）被窃取。Nginx 必须在响应头中显式声明：

• Cross-Origin-Embedder-Policy: require-corp —— 要求所有嵌入资源必须携带 Cross-Origin-Resource-Policy: cross-origin 或通过 CORP header 显式允许
• 若后端服务（如静态资源服务器、CDN）未配置 CORP，需同步补全，否则页面将直接加载失败（这是设计行为，非错误）
• 不建议使用 credentialless 模式，它虽兼容性好但无法启用 SharedArrayBuffer 等高安全能力

隔离浏览上下文组（COOP）

COOP 防止当前页面与跨源弹窗、iframe 共享 JavaScript 执行环境，切断潜在的跨源通信链路：

• Cross-Origin-Opener-Policy: same-origin —— 最严格模式，禁止跨源 opener 关系；若需有限互通，可用 same-origin-allow-popups，但仅限已知可信子域
• 该头必须全局生效（通常放在 server 或 http 块），且不可被子资源覆盖
• 搭配 COEP 使用时，二者共同触发浏览器进入“跨源隔离”状态，此时 self.crossOriginIsolated 返回 true，可启用 SharedArrayBuffer、performance.measureMemory() 等敏感 API

强化资源级防护（CORP）

CORP 是资源端的守门人，决定该资源是否允许被其他源嵌入或获取：

• 对静态资源（JS/CSS/图片/字体）：添加 Cross-Origin-Resource-Policy: same-site（默认最安全）或 cross-origin（仅当确需被外部嵌入时）
• 对 API 接口：通常设为 same-origin，防止被恶意网站通过 <img src="/api/data"> 等方式触发请求并窃取响应体
• 注意：CORP 不影响 CORS，它独立于 Origin 判断，仅基于请求发起者的源与目标资源的源关系做拦截

配套处理预检与凭证细节

即使启用了 COEP/COOP/CORP，传统 CORS 仍需严谨配置，否则合法跨源调用会失败：

• 若前端需携带 Cookie 或认证头，Access-Control-Allow-Origin 不能为 *，必须动态匹配 $http_origin，且必须设置 Access-Control-Allow-Credentials: true
• OPTIONS 预检请求必须返回完整头集合（包括 COEP/COOP/CORP），否则浏览器拒绝后续实际请求
• Timing-Allow-Origin 可选但推荐：设为 * 或指定源，允许跨源性能监控（如 Resource Timing API），便于排查隔离导致的加载延迟