Fetch Metadata 速查

快速理解 Sec-Fetch-Site、Sec-Fetch-Mode、Sec-Fetch-Dest、Sec-Fetch-User 请求头，以及服务端 Resource Isolation Policy / 跨站请求拦截策略。

Fetch Metadata 是服务端辅助防护，不替代认证授权和 CSRF token。缺失头需要兼容降级；OAuth/OIDC/SAML 回调、webhook、支付回调等合法跨站入口应使用 allowlist。