移动端网页嵌入第三方资源为何加载失败？检查 Cross-Origin-Resource-Policy 响应头
当移动端网页嵌入第三方资源失败时，通常是因为资源提供方设置了严格的跨域策略，导致浏览器阻止了请求结果。
检查资源响应头是否包含 CORP 策略
在移动端浏览器中，嵌入第三方资源（如图片、脚本）失败时，首要排查点是资源服务器是否配置了 Cross-Origin-Resource-Policy 响应头。根据资料，CORP 是由资源提供方设置的响应头，用于防止跨域请求中的敏感数据泄露。如果资源服务器未设置该头，浏览器将默认允许跨域访问。但若服务器设置了 CORP，浏览器会根据策略值决定是否允许嵌入。因此，需要检查资源响应头中是否存在 Cross-Origin-Resource-Policy 字段，这是判断策略生效的基础。
具体操作时，可以使用浏览器开发者工具的 Network 面板查看资源请求的响应头。在移动端调试模式下，找到失败的资源请求，查看响应头列表。如果看到 Cross-Origin-Resource-Policy 字段，说明资源服务器已启用该策略。此时，需要进一步分析该字段的值，以确定浏览器是否允许当前网页嵌入该资源。这一步是排查加载失败原因的关键，因为 CORP 是资源提供方主动设置的防护机制。
分析 CORP 策略值与嵌入权限的关系
确认响应头存在后，需分析 CORP 策略的具体值，以判断是否允许当前网页嵌入。资料中提到 CORP 的可能值包括 same-origin、same-site 和 cross-origin。如果策略值为 same-origin，浏览器将仅允许来自同源（协议、域名、端口完全一致）的请求访问资源，这会直接导致第三方资源加载失败。如果策略值为 same-site，浏览器允许来自同站（注册域名相同）的请求访问，这比 same-origin 更宽松，但仍可能排除部分第三方来源。
对于策略值为 cross-origin 的情况，浏览器允许跨域请求访问资源。这是允许嵌入的典型值，但资料也指出，如果网页使用了 Cross-Origin-Embedder-Policy: require-corp 头，则必须显式设置 CORP: cross-origin 才能加载资源。因此，需结合当前网页的嵌入策略进行判断。如果网页未设置 require-corp，而资源设置了 same-origin，则加载必然失败。反之，若资源设置了 cross-origin，则加载成功。
对比 CORS 与 CORP 的使用场景
在排查过程中，需区分 Cross-Origin Resource Sharing (CORS) 和 CORP 的作用。资料指出，对于 CORS 请求，应使用 Access-Control-Allow-Origin 响应头来允许跨域访问。而 CORP 则用于阻止 no-cors 模式的跨域请求，特别是针对脚本和图片元素。如果资源服务器仅设置了 CORS 头，而未设置 CORP，浏览器仍可能允许跨域嵌入。但若资源服务器设置了 CORP: same-origin，则无论是否设置 CORS，浏览器都会阻止跨域访问。
因此，排查时应检查资源响应头中是否同时存在 Access-Control-Allow-Origin 和 Cross-Origin-Resource-Policy。如果两者同时存在，且 CORP 值为 same-origin，则 CORP 的优先级更高，会导致跨域加载失败。如果仅存在 CORS 头，则浏览器可能允许跨域访问。这一步有助于明确资源服务器的安全配置，避免误判。
验证结果与调整策略
根据上述分析，可以得出明确的验证结果。如果资源响应头包含 Cross-Origin-Resource-Policy: same-origin，则第三方资源加载失败是预期行为，因为浏览器阻止了跨域访问。此时，需联系资源提供方调整策略，将其改为 cross-origin 或 same-site，以允许嵌入。如果资源响应头未设置 CORP，或值为 cross-origin，则加载失败可能由其他原因导致，如网络问题或 CSP 策略限制。
调整策略时，资源提供方应优先设置最严格的 CORP 值（如 same-origin）以保护敏感数据，但需确保不影响必要的跨域嵌入。如果网页需要嵌入第三方资源，且资源提供方无法调整策略，则可考虑使用同源代理或 CORS 请求来绕过限制。验证调整后的效果时，需重新检查资源响应头，确保 CORP 值符合预期，并测试跨域加载是否成功。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。