Chrome Manifest V3扩展第三方Cookie拦截报错，求排查解决方法

问题场景 #

你的Chrome扩展Manifest V3配置如下：

{
    "manifest_version": 3,
    "name": "JIRA bug Recorder",
    "description": "",
    "background": { "service_worker": "background.bundle.js" },
    "action": {
        "default_popup": "popup.html",
        "default_icon": "Icon32.png"
    },
    "icons": {
        "32": "Icon32.png",
        "128": "Icon128.png"
    },
    "permissions": [
        "activeTab",
        "scripting",
        "storage",
        "unlimitedStorage",
        "contextMenus",
        "webNavigation",
        "tabs",
        "desktopCapture"
    ],
    "host_permissions": ["<all_urls>"],
    "content_scripts": [
        {
            "matches": ["<all_urls>"],
            "js": ["pageContent.bundle.js"]
        }
    ]
}

点击扩展图标打开popup时，出现「Third-party cookie will be blocked. Learn more in the Issues tab」错误，移除host_permissions和content_scripts字段后警告消失，但你确认自己的脚本并未设置跨站Cookie。

原因分析 #

Chrome针对Manifest V3的隐私限制会对全局权限配置触发默认警告：

• 当配置host_permissions: ["<all_urls>"]和content_scripts匹配所有URL时，Chrome会判定扩展存在跨站Cookie访问的潜在风险，即便你没有主动设置Cookie，也会触发这个预防性警告。
• 另外需要排查pageContent.bundle.js是否引入了第三方依赖，部分第三方库可能会在后台设置Cookie，导致触发警告。

解决方案 #

1. 缩小权限范围（推荐） #

不要使用<all_urls>这种全局匹配，只针对JIRA相关域名配置权限，这样Chrome不会触发跨站Cookie警告：

// 修改host_permissions
"host_permissions": ["https://your-jira-domain.com/*"],
// 修改content_scripts的matches
"content_scripts": [
    {
        "matches": ["https://your-jira-domain.com/*"],
        "js": ["pageContent.bundle.js"]
    }
]

2. 添加跨源策略声明（全局权限场景） #

如果确实需要全局匹配权限，在manifest.json顶层添加以下配置，明确扩展的跨源策略，避免触发警告：

"cross_origin_embedder_policy": "require-corp",
"cross_origin_opener_policy": "same-origin"

注意：该配置可能影响扩展与部分网站的兼容性，需要充分测试。

3. 排查第三方依赖 #

解包pageContent.bundle.js，检查是否有第三方库在设置Cookie。可以使用Chrome开发者工具的Application面板，在扩展运行时监控Cookie的变化，定位来源。

4. 开发阶段临时屏蔽警告（不推荐用于正式发布） #

在Chrome扩展管理页面，找到你的扩展，进入「详细信息」，开启「允许访问文件网址」；或者在开发者工具的Settings面板中，关闭「Third-party cookie blocking」相关的警告提示。

内容的提问来源于stack exchange，提问作者Bob