同源场景下window.open打开子窗口访问属性仍报CORS异常原因

• 最高发的原因是访问子窗口属性的时机过早：window.open触发新窗口导航是完全异步的流程，方法返回childWindow引用的时刻，子窗口的文档还没开始加载、更没完成同源校验。浏览器会给导航未完成的新窗口临时分配一个不透明空源，这时候哪怕你传入的URL和父窗口100%同源，父窗口访问子窗口任何属性都会触发跨域报错。你代码里打开窗口、访问属性是两行同步顺序执行的逻辑，刚好完全命中这个时间差。
• 第二常见的原因是Cross-Origin-Opener-Policy（COOP）响应头配置错误：这个头专门负责管控不同窗口间的浏览上下文隔离，你配置的Access-Control-Allow-Origin对这个场景完全无效——后者只限制fetch/XHR这类跨域网络请求的权限，根本不影响窗口、iframe之间的DOM访问。如果父子页面任意一方配置了不匹配的COOP值（比如强制设置same-origin但上下文不匹配、配置cross-origin要求全隔离），哪怕两个地址完全同源，浏览器也会强制把两个窗口分到不同的上下文组，直接抛出跨域错误。
• 第三个可能原因是window.open方法被篡改：如果页面引入的第三方埋点、广告脚本，或者浏览器装的广告拦截、隐私保护类插件hook了原生window.open方法，会在打开新窗口时先跳转到一个跨域中转页，再自动跳回你的目标地址。你在子窗口控制台看到的最终地址虽然和父窗口完全一致，但窗口的源上下文已经因为中间的跨域跳转被标记为跨域，无法直接访问属性。
• 第四个可能原因是弹窗拦截机制干扰：如果window.open不是在用户点击、按键这类交互事件的同步调用栈里执行（比如放在接口请求回调、setTimeout延迟回调里），会被浏览器判定为非用户主动触发的恶意弹窗，要么直接拦截，要么在用户手动允许弹窗打开后，给子窗口加上临时上下文隔离标记，导致同源访问失败。

• 优先修复时序问题：不要在调用window.open后立刻访问子窗口属性，监听子窗口的load事件，等子窗口文档完全加载、源校验完成后再执行属性访问逻辑，参考实现：

const childWindow = window.open(window.location.href);
childWindow.addEventListener('load', () => {
  // 子窗口加载完成后再操作属性
  console.log(childWindow.data);
}, { once: true });

• 检查COOP响应头配置：打开浏览器开发者工具的网络面板，找到父窗口、子窗口的主文档请求，查看响应头里是否存在Cross-Origin-Opener-Policy字段。如果不需要跨上下文隔离的安全能力，直接删掉这个响应头即可；如果要保留COOP的防护能力，给父子页面都配置Cross-Origin-Opener-Policy: same-origin-allow-popups，保证两个窗口的COOP值完全一致。
• 校验window.open是否被篡改：在父窗口控制台执行window.open.toString()，如果输出结果不是function open() { [native code] }，说明方法已经被第三方脚本/插件改写，先定位并禁用对应脚本/插件恢复原生方法，再执行弹窗逻辑。
• 规避弹窗拦截触发的隔离：把window.open的调用逻辑绑定到用户点击、按键等原生交互事件的同步执行栈中，不要放在异步回调里触发，避免被浏览器判定为恶意弹窗。

内容的提问来源于stack exchange，提问作者user1561017