COEP只能通过HTTP响应头设置，禁用meta和JS设置；必须配合CORP或CORS生效，且require-corp模式下未授权跨源资源将被拦截，启用后需与COOP协同才能解锁SharedArrayBuffer等高敏感API。
不行，<meta> 标签完全无法设置 Cross-Origin-Embedder-Policy（COEP）。 浏览器明确禁止通过 HTML 任何方式声明 COEP，它只能由服务器在 HTTP 响应头中返回，且必须配合 CORP 或 CORS 才能生效。
为什么 <meta http-equiv="Cross-Origin-Embedder-Policy"> 无效
这不是兼容性问题，而是浏览器规范强制限制：
- COEP 是“强制校验型响应头”，和
Access-Control-Allow-Origin一样，<meta http-equiv>只支持极少数可被 HTML 解析的头（如Content-Type、Refresh），Cross-Origin-Embedder-Policy不在其白名单内 - 即使你写成
<meta http-equiv="Cross-Origin-Embedder-Policy" content="require-corp">，Network 面板里也看不到该响应头，控制台也不会报错——它被浏览器直接忽略，连解析都不做 - 本地用
file://或 Live Server 启动页面时，没有服务端响应头，COEP 就不可能启用，<meta>更是毫无意义
require-corp 模式下常见加载失败现象
当你在服务器上正确设置了 Cross-Origin-Embedder-Policy: require-corp，但没同步处理资源，就会立刻暴露问题：
-
<img src="https://cdn.example.com/photo.jpg">→ 控制台报错：Failed to load resource: net::ERR_BLOCKED_BY_RESPONSE -
<script src="https://unpkg.com/react@18/umd/react.development.js"></script>→ 脚本不执行，无错误提示（静默失败） -
fetch('https://api.thirdparty.com/data')→ 抛出TypeError: Failed to fetch，且 Network 中状态为(blocked:cross-origin-embedder-policy) - 即使资源本身可访问，只要没带
Cross-Origin-Resource-Policy: cross-origin或未配 CORS，就一律被拦截
如何让跨域资源在 require-corp 下正常加载
关键不是改 HTML，而是协调服务端响应头与前端声明：
立即学习“前端免费学习笔记（深入）”；
- 对自有 CDN 资源（如 OSS、OBS、DCDN），在对象存储控制台配置
Cross-Origin-Resource-Policy: cross-origin响应头 - 对第三方脚本/样式，确认其支持 CORS 并返回
Access-Control-Allow-Origin: *，然后在 HTML 中显式加crossorigin属性：<script src="https://cdn.example.com/lib.js" crossorigin></script> - 若资源不支持 CORP/CORS（如老版 jQuery CDN），只能退回到
credentialless模式：Cross-Origin-Embedder-Policy: credentialless，它允许加载但自动剥离 cookies 和认证凭据 -
<iframe>不受 COEP 管控，但 JS 访问其内容仍受同源策略限制；需目标页自己设置Content-Security-Policy: frame-ancestors
启用 COEP 后最易被忽略的副作用
很多人只关注“能不能加载”，却忘了 COEP 的核心目的是解锁高敏感 API：
- 一旦页面进入跨域隔离状态（即 COEP + COOP 同时启用），
SharedArrayBuffer才可用；单设 COEP 不足以启用它，必须搭配Cross-Origin-Opener-Policy -
performance.measureMemory()、window.crossOriginIsolated返回true的前提是 COEP 和 COOP 均生效，缺一不可 - COEP 不影响
<form action="https://other.com/submit">提交——表单提交不触发嵌入者策略校验，但后续重定向或 JS 读取响应体仍受限
