Chrome 92版本使用SharedArrayBuffer是否必须切换到HTTPS协议？

结论 #

除本地开发使用localhost源的场景外，所有线上站点如果要正常使用SharedArrayBuffer，必须切换为HTTPS协议。

具体原因 #

• SharedArrayBuffer属于浏览器划定的安全敏感高权限特性，这类特性仅允许在「安全可信源」下运行，HTTP明文协议的站点默认不属于安全可信源，仅HTTPS站点、localhost本地源符合安全可信源的判定标准。
• 你配置的两组跨源隔离响应头Cross-Origin-Opener-Policy: same-origin、Cross-Origin-Embedder-Policy: require-corp（注意你原配置中require拼写错误）本身的生效前提也是站点为安全可信源，HTTP环境下浏览器会直接忽略这两个响应头，也就是你收到报错的直接原因。
• 该限制本质是浏览器的安全防护策略：SharedArrayBuffer可被用来构造高精度计时器，此前已被证明可被用于执行Spectre等侧信道攻击，浏览器通过限定其仅能在HTTPS+跨源隔离的环境下运行，大幅缩小攻击面，避免明文传输场景下的恶意代码滥用该特性窃取用户敏感数据。

内容的提问来源于stack exchange，提问作者Koronis Neilos