Facebook弹窗认证在Android Chrome中丢失window.opener引用问题

问题现象 #

• 桌面端及iPhone环境：Facebook登录弹窗完成授权后重定向回应用，window.opener引用始终有效，可正常跨窗口通信
• Android Chrome环境：
  1. 触发专属二次确认对话框（“您之前已使用Facebook登录XX身份，是否继续？”）时，window.opener仍有效
  2. 确认后经过两次重定向：先跳转至Facebook consent页面（响应头含Cross-Origin-Opener-Policy: unsafe-none;report-to="coop_report"），再跳转回无COOP响应头的应用页面
  3. 最终回跳至应用时，window.opener被设为null，跨窗口通信中断

补充初始跳转信息：登录弹窗首次打开的Facebook链接响应头含Cross-Origin-Opener-Policy: same-origin-allow-popups;report-to="coop_report"，此时window.opener正常指向原窗口

可能原因分析 #

1. COOP策略的跨源跳转冲突：
   Chrome对Cross-Origin-Opener-Policy的执行逻辑在Android端更严格。当弹窗从设置了same-origin-allow-popups的页面跳转到设置unsafe-none的页面时，浏览器会切断原窗口与弹窗的关联，导致后续回跳应用时window.opener无法恢复。而桌面端及Safari对这种跨策略跳转的处理更宽松，未触发关联切断。
2. Android端专属二次确认流程：
   该额外的确认步骤引入了一次额外的跨源跳转环节，直接触发了Chrome的COOP关联切断逻辑。桌面端和iPhone无此流程，因此不会出现该问题。

解决方案建议 #

• 给应用页面添加匹配的COOP头：
  为应用页面设置Cross-Origin-Opener-Policy: same-origin-allow-popups，保持与初始Facebook弹窗的COOP策略一致，避免跨源跳转时浏览器切断窗口关联。
• 改用Facebook SDK的回调机制：
  放弃依赖window.opener，直接使用Facebook官方SDK提供的FB.login()方法，通过SDK内置的回调函数同步登录状态，彻底绕开跨窗口通信的问题。
• 替换window.opener依赖逻辑：
  如果无法修改登录流程，可在原窗口监听弹窗的unload事件，同时轮询后端接口检测登录状态，当确认登录完成后执行后续操作，不依赖弹窗的window.opener引用。
• 关闭重复登录二次确认提示：
  登录Facebook开发者后台，检查登录设置中是否有选项可关闭重复登录的二次确认提示，减少一次跨源跳转环节，从根源避免触发COOP关联切断。

内容的提问来源于stack exchange，提问作者Faire