使用SharedArrayBuffer的站点中window.open与OAuth2流程的CORS问题

问题1：重定向回自有站点后仍无法读取弹窗状态的原因 #

该问题和document.domain无关，核心是跨源隔离所需的COOP（Cross-Origin-Opener-Policy）配置导致的浏览上下文组隔离。
由于你的站点使用SharedArrayBuffer，必须开启跨源隔离，也就是配置了Cross-Origin-Opener-Policy: same-origin + Cross-Origin-Embedder-Policy: require-corp。其中Cross-Origin-Opener-Policy: same-origin的规则是：只要你通过window.open打开的弹窗初始页面是跨源的（此处为Discord授权页），浏览器会直接把这个弹窗分到独立的浏览上下文组，永久切断它和原站点opener的引用关联，哪怕后续弹窗重定向回你的自有站点，这个上下文组的隔离状态也不会恢复，所以原站点拿到的弹窗对象始终是被隔离的，读取window.closed就会固定返回true。
你申请的same-origin-allow-popups特性只能解决弹窗停留在Discord跨源页面时的状态读取问题，但解决不了上下文组隔离导致的同域重定向后的引用切断问题。

问题2：无明确报错的window.closed == true异常排查方法 #

• 首先核对跨源隔离配置：打开DevTools【应用】面板，在侧边栏【后台服务】分类下找到【跨源隔离状态】，查看当前页面和弹窗的COOP/COEP配置，以及两者的浏览上下文组ID，如果ID不一致即可确认是上下文隔离导致的引用切断。
• 手动验证引用状态：分别在原站点控制台和弹窗控制台执行window.opener，如果弹窗的window.opener返回null，即可确认两者的引用关联已被浏览器切断。
• 规则验证测试：临时将站点的COOP配置修改为Cross-Origin-Opener-Policy: same-origin-allow-popups（该配置既满足SharedArrayBuffer的跨源隔离要求，又允许保留打开的弹窗的opener引用），测试授权流程是否恢复正常，即可快速定位根因。
• 边界场景排查：加定时器轮询弹窗对象，用try catch包裹访问popup.location.href的逻辑：如果抛出跨域错误，说明弹窗当前还处于跨源页面；如果未抛出错误但popup.closed仍返回true，即可排除同源策略限制，锁定为浏览上下文隔离问题。

内容的提问来源于stack exchange，提问作者Cole Crouter