移动端网页嵌入第三方资源为何 Cookie 发送失败？检查 Cross-Origin-Embedder-Policy
当网页设置了 Cross-Origin-Embedder-Policy 头部时，浏览器会阻止加载未明确允许跨域嵌入的资源。
检查资源响应头是否包含 CORP 允许指令
如果嵌入方网页设置了 Cross-Origin-Embedder-Policy: require-corp，浏览器会强制要求被嵌入的资源必须明确声明允许跨域访问。此时若资源响应头中未包含 Cross-Origin-Resource-Policy: cross-origin，浏览器将拦截该资源的加载，导致页面无法正常显示或功能失效。检查步骤是使用抓包工具查看资源响应头，确认是否存在该指令。
对于移动端网页，开发者常遇到第三方脚本或图片无法加载的情况。这通常是因为资源提供方未针对跨域嵌入场景配置 CORP 头部。在移动端调试时，可以通过浏览器开发者工具的 Network 面板查看具体资源的响应状态和头部信息，判断是否因 CORP 限制导致加载失败。
确认 CORP 值是否与嵌入场景匹配
CORP 头部有三个可选值，分别对应不同的安全级别。same-origin 仅允许同源请求访问，same-site 允许同站请求访问，而 cross-origin 则允许任意跨域请求访问。若嵌入方需要加载第三方资源，必须确保资源响应头中的 CORP 值设置为 cross-origin，否则浏览器会阻止加载。
对于移动端网页，如果资源提供方是公司内部的 CDN 或单点登录系统，通常会使用 same-site 级别的 CORP。这种情况下，只有同站点的嵌入方才能正常加载资源。如果嵌入方是外部网站，必须与资源提供方协商，在响应头中添加 cross-origin 指令，否则资源将无法被嵌入。
排查嵌入方是否设置了严格的 COEP 头部
嵌入方网页必须设置 Cross-Origin-Embedder-Policy: require-corp 才能启用严格的跨域隔离机制。这种机制要求所有跨域资源必须明确声明允许嵌入，否则浏览器会阻止加载。如果嵌入方未设置该头部，则 CORP 限制不会生效，资源可以正常加载。
在移动端网页开发中，为了启用 SharedArrayBuffer 等高级功能，通常会设置 COEP 头部。此时必须确保所有跨域资源都支持跨域嵌入，否则页面将无法正常工作。检查步骤是查看嵌入方网页的响应头，确认是否包含 Cross-Origin-Embedder-Policy: require-corp，并验证资源响应头是否包含对应的 CORP 允许指令。
验证结果与常见错误排查
验证结果的方法是检查资源是否成功加载。如果资源加载失败，且嵌入方设置了 COEP 头部，则很可能是资源响应头中缺少 CORP 允许指令。此时需要联系资源提供方，在响应头中添加 Cross-Origin-Resource-Policy: cross-origin。如果资源加载成功，则说明 CORP 配置正确。
常见的错误是误以为设置了 COEP 头部后，所有跨域资源都会自动允许嵌入。实际上，CORP 是由资源提供方设置的，嵌入方无法强制要求。如果资源提供方未设置 CORP 头部，即使嵌入方设置了 COEP 头部，资源也无法加载。因此，必须同时检查嵌入方和资源提供方的头部配置。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。