No estoy seguro de si esta opción es una solución en su caso, pero tal vez pueda ayudarlo a encontrar una solución completa. Esta publicación de blog describe cómo habilitar SharedArrayBuffer mediante la modificación del encabezado en ServiceWorker. Funciona en el siguiente orden:

1. Cuando la página se carga por primera vez, se registra un trabajador del servicio
2. Se recarga la pagina
3. SharedArrayBuffer está disponible porque ServiceWorker controla todos los encabezados CORS para todas las solicitudes

Service Worker modifica todas las solicitudes agregando encabezados CORS/COEP (el ejemplo se toma de la publicación de blog mencionada):

 self.addEventListener("install", function() { self.skipWaiting(); }); self.addEventListener("activate", (event) => { event.waitUntil(self.clients.claim()); }); self.addEventListener("fetch", function(event) { if (event.request.cache === "only-if-cached" && event.request.mode !== "same-origin") { return; } event.respondWith( fetch(event.request) .then(function(response) { // It seems like we only need to set the headers for index.html // If you want to be on the safe side, comment this out // if (!response.url.includes("index.html")) return response; const newHeaders = new Headers(response.headers); newHeaders.set("Cross-Origin-Embedder-Policy", "require-corp"); newHeaders.set("Cross-Origin-Opener-Policy", "same-origin"); const moddedResponse = new Response(response.body, { status: response.status, statusText: response.statusText, headers: newHeaders, }); return moddedResponse; }) .catch(function(e) { console.error(e); }) ); });

Intente agregar allow-scripts y tokens allow-same-origin en el atributo sandbox del iframe:

 <iframe src="…" sandbox="allow-scripts allow-same-origin"></iframe> ^^^^^^^^^^^^^ ^^^^^^^^^^^^^^^^^

Aquí hay algunos recursos relevantes sobre el tema:

• Sandboxing, IFrame y permitir el mismo origen (pregunta de StackOverflow)
• Asegurar un iframe gracias al atributo sandbox
• <iframe> : el elemento Inline Frame (documentos de MDN), no se pierda la nota sobre seguridad en la descripción del atributo.

Pruebe lo anterior primero, y si no ayudó con el problema de SharedArrayBuffer que tiene, entonces las cosas son un poco más complejas.

El origen cruzado adecuado requiere encabezados explícitos de los subrecursos (el <iframe> tiene que enviar encabezados), lo cual es un gran problema cuando los subrecursos son de terceros y están fuera de control. Para mitigar este problema, existe una propuesta Cross-Origin-Embedder-Policy: credentialles .

Sin embargo, hay un problema: no cambia la forma en que funciona <iframe> (¡qué lástima, esto es exactamente lo que se necesita!). Hay una discusión sobre iframes anónimos , que resolvería este problema, pero aún no está resuelto, por lo que no aguantaría la respiración aquí.

Entonces, la única opción que queda es retrasar este cambio en el comportamiento de Chrome (que se puede hacer antes de Chrome 103):

1. Solicita un token para tu origen.
2. Agregue el token a sus páginas. Hay dos maneras de hacerlo:
   • Agregue una etiqueta <meta> al encabezado de cada página. Por ejemplo, esto puede parecerse a: <meta http-equiv="origin-trial" content="TOKEN_GOES_HERE">
   • Si puede configurar su servidor, también puede agregar el token mediante un encabezado HTTP Origin-Trial . El encabezado de respuesta resultante debería ser similar a: Origin-Trial: TOKEN_GOES_HERE