需SharedArrayBuffer的sub.domain.com嵌入domain.com iframe的.htaccess CORS配置

1. sub.domain.com的.htaccess需添加的精确头配置 #

要让启用了Cross-Origin-Embedder-Policy: require-corp的子域内容能被主域嵌入，你需要在sub.domain.com的.htaccess中添加以下配置：

# 维持SharedArrayBuffer所需的跨源隔离头
Header set Cross-Origin-Embedder-Policy "require-corp"
# 明确允许外部域名嵌入该资源
Header set Cross-Origin-Resource-Policy "cross-origin"
# 指定仅允许主域domain.com跨源访问
Header set Access-Control-Allow-Origin "https://domain.com"
# 若你的应用需要携带凭据（如Cookie），添加这一行；无需则可省略
Header set Access-Control-Allow-Credentials "true"
# 可选：明确允许主域作为iframe嵌入的父页面（替代废弃的X-Frame-Options）
Header set Content-Security-Policy "frame-ancestors https://domain.com;"

关键说明：

• Cross-Origin-Resource-Policy: cross-origin是配合require-corp的核心：它标记该资源允许被其他域名嵌入，而require-corp会拒绝所有未明确标记可跨源的资源。
• 不能用Access-Control-Allow-Origin: "*"：因为require-corp不允许通配符与Access-Control-Allow-Credentials共存，且指定具体源更安全。
• 废弃的X-Frame-Options: ALLOW-FROM已被现代浏览器淘汰，改用Content-Security-Policy: frame-ancestors更可靠。

2. domain.com的.htaccess是否需要添加CORS头？ #

不需要。domain.com作为iframe的嵌入发起方（父页面），针对嵌入sub.domain.com内容这个场景，无需额外配置CORS头。只有当sub.domain.com的资源需要反向请求domain.com的内容时，才需要在domain.com的.htaccess中配置对应的CORS规则，但你的问题场景中不存在这种需求。

为什么之前的方法无效？ #

• document.domain = "domain.com"是旧版同源策略绕过方案，在启用Cross-Origin-Embedder-Policy这类跨源隔离头后，浏览器会强制严格的同源检查，该方法完全失效。
• Access-Control-Allow-Origin: "*"不符合require-corp的严格要求，无法被允许嵌入。
• X-Frame-Options: ALLOW-FROM已被废弃，现代浏览器不再支持该指令的ALLOW-FROM参数。

内容的提问来源于stack exchange，提问作者Marc T.