XAMPP需启用mod_headers模块并在虚拟主机或目录中添加Header always set Cross-Origin-Embedder-Policy "require-corp"，且所有子资源须声明CORP头才能启用crossOriginIsolated。
XAMPP 本身不支持直接通过 httpd.conf 启用 Cross-Origin-Embedder-Policy（COEP），因为 Apache 2.4 默认不提供该响应头的原生配置能力；你必须手动添加 Header 指令，且需确保 mod_headers 已启用——否则配置无效，浏览器会静默忽略 COEP。
确认 mod_headers 是否已加载
COEP 是一个 HTTP 响应头，Apache 必须通过 mod_headers 模块才能设置。XAMPP 默认启用了它，但容易被误关或覆盖。
- 打开
XAMPP\apache\conf\httpd.conf - 搜索
LoadModule headers_module，确认该行未被注释（即前面没有#） - 若已注释，删掉
#；若整行缺失，说明模块文件损坏或被移除，需重装 XAMPP 或手动补全模块路径 - 改完后必须运行
httpd -t验证语法，再重启 Apache
在虚拟主机或目录中添加 COEP 响应头
COEP 不是全局开关，它只对明确设置了该头的响应生效。不能只写在主配置里就“自动覆盖所有站点”，必须落到具体 <VirtualHost> 或 <Directory> 块中。
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
- 在
httpd-vhosts.conf对应项目的<VirtualHost *:80>内添加：Header always set Cross-Origin-Embedder-Policy "require-corp"
- 若项目还依赖
Cross-Origin-Opener-Policy（如防 XS-Leaks），需一并加：Header always set Cross-Origin-Opener-Policy "same-origin"
- 注意：两个头必须同时存在且策略兼容，否则浏览器会拒绝加载资源（例如图片、iframe、WebAssembly）
- 不要用
unsafe-none或credentialless这类非标准值，Chrome/Firefox 当前只稳定支持require-corp和credentialless（后者需配合Cross-Origin-Resource-Policy）
多端口下 COEP 的实际作用范围
COEP 只约束「当前响应的来源」，和监听端口无关。你在 httpd.conf 中配了 Listen 8080 和 Listen 8081，每个端口上的虚拟主机仍需单独配置 COEP 头——端口切换不会继承头策略。
- 比如
http://localhost:8080/myapp和http://localhost:8081/otherapp是两个独立源，各自响应头互不影响 - 若某个端口没配 COEP，即使其他端口配了，该端口下的页面也无法使用
SharedArrayBuffer或跨域 iframe 的postMessage安全上下文 - 常见错误：只在
:80的<VirtualHost>里加了 COEP，却期望:8080下的前端也能启用crossOriginIsolated——这不会生效
COEP 的真正门槛不在配置，而在整个资源链路：所有子资源（JS、CSS、图片、字体、iframe）都必须声明 Cross-Origin-Resource-Policy: cross-origin 或同源加载，否则页面无法进入 crossOriginIsolated 状态。这点比加一行 Header 要难得多。
