<meta>标签无法配置Cross-Origin-Opener-Policy——该策略必须由服务器通过HTTP响应头（如Cross-Origin-Opener-Policy: same-origin）声明，浏览器完全忽略<meta http-equiv>设置，且不报错、不警告、仅静默失效。
meta 标签无法正确配置 Cross-Origin-Opener-Policy。
浏览器直接忽略 meta 设置的 Cross-Origin-Opener-Policy
所有主流浏览器（Chrome 92+、Firefox 98+、Safari 16.4+）都**不支持**通过 <meta http-equiv="Cross-Origin-Opener-Policy" content="same-origin"> 启用跨源隔离。该标签会被静默丢弃，self.crossOriginIsolated 仍为 false，SharedArrayBuffer 依然不可用。
原因很直接：COOP 是进程级安全策略，必须由服务器在 HTTP 响应头中声明，确保导航发起前就锁定上下文。HTML 解析阶段再设 meta 已错过时机。
- 开发者工具 Network 面板能看到 meta 标签，但 Headers → Response Headers 里没有
Cross-Origin-Opener-Policy—— 这就是失效的明确信号 - 即使同时加了
Cross-Origin-Embedder-Policy的 meta，两者也都不起作用 - 部分旧文档或博客提到 meta 可用，是基于早期实验性实现或误测，2023 年后已全部移除支持
必须用 HTTP 响应头设置 Cross-Origin-Opener-Policy
只有服务器返回的响应头 Cross-Origin-Opener-Policy: same-origin 才被认可。它和 Cross-Origin-Embedder-Policy: require-corp 必须同时存在、同源、同协议、同端口，缺一不可。
立即学习“前端免费学习笔记（深入）”；
- Nginx 示例：
add_header Cross-Origin-Opener-Policy "same-origin";（需放在 server 或 location 块中） - Node.js（Express）：
res.setHeader('Cross-Origin-Opener-Policy', 'same-origin'); - 本地开发调试可用
npx serve --cors --headers '{"Cross-Origin-Opener-Policy":"same-origin","Cross-Origin-Embedder-Policy":"require-corp"}' - 注意：
same-origin-allow-popups不满足跨源隔离要求，self.crossOriginIsolated仍为false
为什么 meta 看似“能写”，却不能用
HTML 规范允许 http-equiv 模拟部分响应头，但 COOP 被明确排除在外。浏览器实现上，它只检查原始响应流中的 header 字段，不解析 HTML 文档内容。
- 哪怕你在
<head>最开头写<meta http-equiv="Cross-Origin-Opener-Policy" content="same-origin">，也毫无效果 - 试图用 JS 动态注入 meta 标签更无效——此时页面早已完成导航和进程分配
- 常见误判：看到 Network 面板里 HTML 响应体含该 meta，就以为策略生效；实际要查的是 Response Headers 区域
真正起效的唯一路径是让服务器发对头。任何绕过响应头的尝试，都会卡在 self.crossOriginIsolated === false 这一步，且无提示、无报错、仅静默失败。
