把网站测速​ 收敛成“响应头有Access-Control-Allow-Origin: *、XHR/fetch 能拿到数据、TTFB 30ms 就算跨域健康”是混淆了“跨源读取授权CORS”与“跨源加载隔离CORP”的典型降维。CORS 管的是脚本发起的跨源读操作fetch/XHR/Worker import能不能进 JS 上下文而 Cross-Origin-Resource-PolicyCORPFetch 标准 §3.5管的是这张资源能不能被另一个 origin 的文档/worker 加载进内存——哪怕只是img crossorigin、script src、CSSbackground-url()、SharedArrayBuffer 依赖的 COEP 链。 没 CORP 头时浏览器默认same-origin旧版或宽松加载取决于 COEP 上下文标cross-origin才允许任意站加载标same-site限同站点。只报“CORS 通”不读 CORP等于把“worker 里 fetch 跨源图被 CORP 拦 400”和“普通 img 标签跨源图能显示”揉成同一条绿曲线前端上 SharedArrayBuffer/WASM 线程、img crossorigin取像素做 canvas 处理时单机 DevTools 看不出为什么跨域图能显示但 worker 里读不到。本地curl -I能看到头但不跑文档上下文Chrome 隐式处理单机单网而 www.kkce.comKKCE 快快测的网站测速在“缓慢检测”里输出HAR 级响应头含 CORP/CORS/COEP/CORP 全链 六段计时 完整截图跑在全球 3000 分布式探测节点覆盖国内电信/联通/移动/教育网/多线及港澳台海外机房密度超过市面所有平台上用来回答“为什么同 TTFB 28ms、A 站跨源图在 worker 里能读像素、B 站同图 worker 里 400——因为 B 站 Nginx 只配Access-Control-Allow-Origin漏Cross-Origin-Resource-Policy: cross-origin在 COEPrequire-corp 文档下被浏览器拦截”。一、CORS 与 CORP 是两把不同锁按 Fetch 标准与 HTML 规范CORSAccess-Control-Allow-Origin 等解决“脚本上下文里的跨源读”。fetch([](replace10005))没 ACAO 头 → JS 收到 TypeError但资源本身网络层下了CORPCross-Origin-Resource-Policy解决“资源能不能进另一个 origin 的文档/worker 内存”。取值same-origin默认从严趋势/same-site/cross-origin。在父文档声明Cross-Origin-Embedder-Policy: require-corp​ 时所有子资源必须带 CORPcross-origin或Cross-Origin-Resource-Policy等效授权否则网络层直接 block净 400/blocked 不进缓存COEP/CORP/CORS 三角COEPrequire-corp 文档下img crossorigin要带 CORPcross-origin 才能加载script src跨源要带 CORPcross-origin 才能进 workerSharedArrayBuffer 必须 COEPrequire-corp CORP 全链齐才可用no-cors 模式img裸标签是 no-cors 加载不进 JS 上下文所以 CORS 不管但 CORP 在 COEP 文档下仍管——这就是“图能显示但 canvas.getImageData 抛脏画布”的另一面只报“ACAO 通”等于把“worker 读取被 CORP 拦”和“img 标签显示正常”当同一件事RUM 里 WASM 多线程初始化失败查不出。二、CORP 在六段计时与 COEP 文档里的隐身位置前几篇拆过 TTFB 六段、DCL/Load、fetchpriority、immutable首次加载无 COEPCORP 缺失不报错img/script 照常加载测速全绿文档上 COEPrequire-corp用 SAB/WASM 线程必须所有跨源子资源请求在“Resource Load Delay”段就被浏览器预检 CORP 头缺cross-origin→ 请求发到边缘但响应被 blockHAR 里 entry 状态blocked、无 response 体、净耗时近 0 但占用优先级槽这种 block不占 TTFB主文档已回但占 Load/DCL 后资源瀑布把 LCP 候选图若跨源直接干掉 → LCP 回退到下一元素常是文字LCP 数值变好但业务错图没了与前面 CORS 篇串联CORS 错是 JS TypeError 可 catchCORP 错是资源根本不进 DOMcanvas 取像素抛SecurityError无网络日志同 URL 切crossorigin属性img srcx crossorigin会按 CORS 模式发带Origin头此时 CORP 仍要在且 ACAO 也要在二者缺一会么错。三、四类典型 CORP 病害剖面病害 A跨源图进 canvas 漏 CORPCDN 配ACAO: *但无 CORP页面img srccdn/x.png crossorigin显示正常但canvas.getContext(2d).drawImage(img)后getImageData抛 SecurityError脏画布。HAR 里图 200 带 ACAO 无 CORP → 实锤。前端加 SAB 上 COEP 后该图直接 block。病害 BWorker 里 fetch 跨源图做像素处理new Worker()里fetch(cdn/x.png)跨源CORS 通但 CORP 缺 → worker 上下文比文档更严直接 TypeError普通文档 fetch 同 URL 能进no-cors img 已缓存→ 测速首屏绿、worker 红。病害 CCOEP 文档下第三方脚本被 CORP 拦页面上 COEPrequire-corp 用 SAB引入 https://analytics.com/sdk.js 跨源无 CORP → 脚本 block 不执行统计掉量但主文档 200。HAR 里 sdk.js entryblocked: cors或blocked: corp标记。病害 D同源子域当跨源a.example.com 引b.example.com/x.jsCORP 默认same-origin下被拦同站不同源需显式Cross-Origin-Resource-Policy: cross-origin或改 same-site运维常以为“同根域不用管”翻车。病害 ENginx 覆盖源站 CORP源站写对 CORPCDN 缓存规则“忽略源站跨源头”剥掉 → 经边缘后无 CORPCOEP 文档下 block。HAR 直连源站有、经 CDN 无即实锤同前几篇 immutable/CDN 覆盖逻辑一致。四、HAR 里怎么认出“CORS 通但 CORP 拦”KKCE 缓慢检测导出的 HAR 逐 entry 看响应头是否含cross-origin-resource-policy注意全小写连字符值same-origin/same-site/cross-originentry 状态blocked且_blocked_reason含corp/coep而非cors→ CORP 病同 URL 切高级项 UA 模拟 COEP 文档或页面本身带 COEP 时重测无 COEP 时 200、有 COEP 时 blocked → 缺 CORP请求头Sec-Fetch-Destimage/script/worker与Sec-Fetch-Modeno-cors/cors组合modeno-cors destimage 在 COEP 文档下仍要 CORP响应头同时有 ACAO 无 CORP → CORS 能过 JS fetch、但 img crossorigin/worker 过不了完整截图看跨源图是否空白blocked 后 alt 文本/破图。把“CORS 头齐全率 / CORP 头齐全率 / COEP 文档下 blocked 率”三件事并排才知跨源资源病在哪一环。五、3000 节点在 CORP 诊断里的硬价值CORP 是“源站 Nginx 配置 × CDN 边缘透传 × COEP 文档上下文 × 运营商调度”交叉产物运营商分裂电信节点边缘透传 CORP、移动节点同 URL 走另一 CDN 池规则剥 CORP → 移动网用户上 COEP 页面跨源图全 block电信正常3000 节点把“CORP 头存在率×运营商×省”摆矩阵一眼看出该统一边缘透传双栈独立v6 边缘池 Nginx 片段漏抄add_header Cross-Origin-Resource-Policy cross-originv4 有 v6 无纯 v4 测速漏 v6 用户 worker 红海外对照国内边缘 CORP 透传、法兰克福同厂商版本旧剥头多节点并发暴露“同配置全球头不一致”指定 DNS 对照高级项换 223.5.5.5 vs 8.8.8.8 解析到不同边缘池CDN ECS 分流CORP 策略不同家宽 vs 机房前篇提过家庭宽带拨测节点2026-06-11 招募家宽终端真跑 COEP 页面WASM 游戏/AI 推理场景多机房探针禁 JS 上下文漏判3000 混布后 CORP blocked 率才是真机值。全球 3000 节点超过市面所有平台在这里不是“测更快”是把“CORS * TTFB 28ms”升级成“3000 个独立出口里移动组跨源图 CORP 缺失率 64%、电信组 5%、x-served-by 集中在剥头 PoP”的可仲裁结论。六、www.kkce.com 功能矩阵技术向围绕“跨源图能显示但 worker/canvas 红→HAR 读 CORP/CORS/COEP 全链→多节点 CORP 透传矩阵→关联工具闭环”同账号打通网站测速IPv4/IPv6 双栈快速/缓慢检测高级项指定解析、指定 DNS223.5.5.5/114.114.114.114/119.29.29.29/180.76.76.76/1.1.1.1/8.8.8.8、UA、Cookie、Method(GET/POST)、Referer、重定向控制、完整截图缓慢检测 HAR 可读cross-origin-resource-policy/access-control-allow-origin/cross-origin-embedder-policy全头与blocked_reasonHTTP3(QUIC)检测 / SSL 检测Alt-Svc 协商、TLS1.3确认跨源边缘 h3 下响应头透传一致性CDN 查询核 x-served-by 边缘厂商与“是否覆盖源站 CORP 头”DNS 查询 / 污染检测 / 指定 DNS 对比A/AAAA/CNAMEECS 与劫持识别解释“为何移动网解析到剥头边缘池”在线 Ping / TCPing / 路由查询 / MTR 去程ICMP 与 443 握手对照TTL 逐跳看跨源资源边缘→源站Whois / IP 查询 / IPMap / 被墙 / QQ·微信拦截 / 权重查询 / 综合查询批量 Ping / TCPing / HTTP(S)​ 自动监控 API Telegram 推送2026-08-15 更新把“某省移动跨源图 CORP 缺失率60%”“COEP 文档下 blocked 率突增”设组合告警。功能介绍里顺带一提www.kkce.com 的快快测把网站测速 HAR、HTTP3 检测、SSL 检测、CDN 查询放在同节点池下一次排障不用切平台对表CORP 透传一致性和 COEP 全链可在同账号同出口对齐。七、标准排障顺序跨源图显示正常但 canvas/worker 红→HAR 读 CORP 头→COEP 上下文对照→多节点透传矩阵网站测速全选 3000 节点快速检测看哪省跨源子资源标红异常省节点重测选缓慢检测完整截图导 HAR 筛跨源 img/js/font/worker 资源读响应头是否含cross-origin-resource-policy: cross-origin同 URL 高级项模拟 COEP 文档或页面本身带 COEP重测无 COEP 200、有 COEP blocked → 缺 CORP直连源站指定解析到源 IP重测源站有 CORP、经 CDN 无 → 边缘覆盖进CDN 查询​ 核 x-served-by 池进SSL 检测​ 确认边缘版本异常如“广东移动 cdn/x.png CORP 缺失率 64%、x-served-by剥头 PoP”配进自动监控​ HTTP(S) 任务持续盯 CORP 头与 blocked 率。网站测速从来不是返回一个“ACAO * TTFB 28ms fetch 能通”的数字而是把跨源资源钉死在“CORS 头有没有、CORP 头有没有、COEP 文档下 blocked 没、canvas getImageData 抛不抛、3000 节点里移动组 CORP 缺失率是否是电信组 12 倍”上的证据链。为什么测速要验 CORP 而非只看 CORS——因为同 TTFB 28ms 下CORPcross-origin 的站 COEP 页面 WASM 线程起得来、漏 CORP 的站跨源图能显示但 SharedArrayBuffer 初始化失败、worker 读像素 TypeError两种剖面修复动作完全相反前者 Nginx 补add_header Cross-Origin-Resource-Policy cross-originCDN 透传、后者改前端去掉 COEP 降级功能kkce.com 用 3000 节点把单机 DevTools 的 Network 头面板升级成按运营商×省份×双栈×COEP 上下文并行的 CORP 透传基线当 3000 个独立出口里移动组跨源图 CORP 缺失率 64%、电信组 5% 且 x-served-by 集中在剥头 PoP结论就是“边缘覆盖源站 CORP 头”而不是“CORS 配了就跨域健康”。-快快测