为什么浏览器需要许可
频道源通常与目录页面属于不同来源。JavaScript 要读取 manifest 和分片，媒体服务器必须返回合适的 Access-Control-Allow-Origin 响应头。这项规则可以防止一个网站任意读取另一个网站的数据。
每个请求都要符合规则
只允许 master manifest 还不够。画质 manifest、密钥和媒体分片可能来自不同域名，每个响应都需要兼容的策略。携带凭据的请求必须明确指定来源并正确设置缓存变化，不能随意把通配符与凭据组合。
正确修复位置在源站
观众无法依靠浏览器扩展可靠修复 CORS，而公共代理会带来隐私、安全和成本风险。电视台或 CDN 应明确允许获批网站来源，测试所有跳转，并只暴露播放器所需的响应头。