概述

Cross-Origin-Resource-Policy（CORP）通过响应头限制资源的跨源加载，缓解热链与 XSSI（跨站脚本包含）以及推测侧信道攻击（如 Spectre）。可与 Fetch Metadata/CSP/COEP 联用构建资源隔离策略。

指令与行为

• Cross-Origin-Resource-Policy: same-origin：仅同源页面可加载资源。
• Cross-Origin-Resource-Policy: same-site：同站（eTLD+1）可加载，跨站拒绝。
• Cross-Origin-Resource-Policy: cross-origin：显式允许跨源，默认放行（不推荐）。

适用场景

• 对包含敏感数据的脚本、JSON、私有图片等，建议 same-origin 或 same-site，防止被外站通过