HTML 无法直接调用 API，必须通过 JavaScript（如 fetch()）发起请求；script src 加载 JS 文件不是标准 API 调用，JSONP 已被 fetch + CORS 取代；CORS 错误源于服务端未授权，需后端配置响应头或使用代理解决。
HTML 本身不能直接调用 API，它只是静态标记语言，没有执行能力；所有实际的 HTTP 请求必须由 JavaScript 发起。
为什么 <script src="..."> 不算“调用 API”
很多人误以为用 <script src="https://api.example.com/data.js"> 就是调用了 API，其实这只是加载外部 JS 文件——前提是对方服务器**主动返回合法的 JavaScript 代码**（比如 JSONP 格式），且该代码会调用你预定义的全局函数。这不是标准 API 调用，而是绕过同源策略的遗留方案。
- 现代 API 返回的是 JSON、XML 等数据格式，不是可执行 JS，
<script>加载后会直接报语法错误 - JSONP 已基本被
fetch()+ CORS 取代，不支持 POST/PUT、无错误捕获、无法设请求头 -
<link rel="preload">或<img src="...">也不能读取响应体内容，只能触发请求
fetch() 是当前最直接的 API 调用方式
在 HTML 页面中嵌入 <script>，用 fetch() 发起请求，是最常见、最可控的做法。注意它默认不带 Cookie，跨域需服务端配合 Access-Control-Allow-Origin 响应头。
- GET 请求示例：
fetch("/api/users")<br> .then(r => r.json())<br> .then(data => console.log(data)); - 带凭证的请求要加
credentials: "include"，否则登录态丢失 - 不要在
<script>标签里写异步逻辑后直接操作 DOM，确保元素已加载（可用DOMContentLoaded或把 script 放在 body 底部）
CORS 错误是前端调用 API 时最常卡住的地方
浏览器报错 Blocked by CORS policy 并不是你代码写错了，而是服务端没允许你的域名或请求方法。这个限制发生在浏览器层，fetch() 或 XMLHttpRequest 都无法绕过。
立即学习“Java免费学习笔记（深入）”；
- 本地开发时常见：前端跑在
http://localhost:5173，API 在http://localhost:3000，必须后端配置允许该源 -
OPTIONS预检失败通常是因为服务端没处理非简单请求（如含Authorization头、Content-Type: application/json） - 代理（如 Vite 的
server.proxy或 Nginx 反向代理）是开发期最实用的规避手段，本质是让请求看起来“同源”
真正难的从来不是写几行 fetch()，而是理解谁控制请求头、谁决定响应头、谁承担鉴权逻辑——这些边界一旦模糊，问题就会卡在“明明接口在 Postman 里能通，网页里就是不行”。
