Chrome扩展Manifest V3沙盒iframe跨源隔离与SharedArrayBuffer使用问题

问题根因 #

Chrome Manifest V3中通过manifest.json声明的沙盒页面，会被浏览器自动套用严格的默认权限策略（Permissions Policy），默认禁用绝大多数非必要特性，且优先级高于iframe上的allow属性，这就是你观测到三个现象的核心原因。

问题1解决方案：让iframe嵌入的沙盒页面实现跨源隔离 #

1. 首先确认你使用的Chrome版本≥115，该版本开始支持扩展的permissions_policy manifest配置项，专门用于自定义扩展页面的权限策略。
2. 在manifest.json中新增如下配置，显式给沙盒页面放开跨源隔离权限：

{
  ...
  "permissions_policy": {
    "cross-origin-isolated": ["self", "https://*"]
  },
  ...
}

如果需要更严格的权限控制，可以把https://*替换为沙盒页面的完整地址，格式为https://<你的扩展ID>.chromiumapp.org/sandbox.html。
3. 确认外层outer.html本身已经满足跨源隔离要求：manifest配置的全局COOP/COEP会默认作用于扩展普通页面，你可以直接在外层页面控制台执行self.crossOriginIsolated验证，返回true才符合要求。
4. 现有iframe的allow="cross-origin-isolated"配置保留即可。

配置完成后重新加载扩展，沙盒页面的crossOriginIsolated状态就会变为true，可以正常使用SharedArrayBuffer。

问题2解决方案：给manifest声明的沙盒页面新增更多权限特性 #

所有需要沙盒页面支持的特性，都可以通过上述manifest.json的permissions_policy配置项显式声明放行，示例如下：

{
  ...
  "permissions_policy": {
    "cross-origin-isolated": ["self", "https://<你的扩展ID>.chromiumapp.org/sandbox.html"],
    "shared-array-buffer": ["self", "https://<你的扩展ID>.chromiumapp.org/sandbox.html"],
    "webassembly": ["self", "https://<你的扩展ID>.chromiumapp.org/sandbox.html"],
    // 其他你需要的特性都可以按这个格式添加
  },
  ...
}

配置完成后重新加载扩展，再在沙盒iframe内执行document.featurePolicy.allowedFeatures()就能看到你配置的所有特性已经被加入允许列表。

内容的提问来源于stack exchange，提问作者Bentley Carr