file://协议下crossorigin="anonymous"会强制触发CORS检查但因无服务端响应头而失败，导致图片/脚本加载错误；本地开发应移除该属性，仅在HTTP(S)跨域场景（如CDN、WebGL、integrity校验）中保留。
file:// 协议下 crossorigin="anonymous" 会直接失效
本地双击打开 HTML 文件时，浏览器使用 file:// 协议加载资源，此时所有跨域策略（包括 CORS）都不生效——但 crossorigin="anonymous" 不仅不生效，反而会强制触发 CORS 检查，导致图片、脚本等资源加载失败。这不是配置问题，而是协议层限制。
为什么本地用它反而报错：texImage2D / Script Error / blocked by CORS policy
常见错误如 Failed to execute 'texImage2D' 或控制台只显示 Script Error，本质是浏览器在 file:// 下仍按 CORS 流程处理带 crossorigin 属性的请求，但本地文件没有响应头，也无服务器可协商，最终被拦截。
-
crossorigin="anonymous"要求服务端返回Access-Control-Allow-Origin响应头，file://根本无法提供 - 即使图片同目录，加了该属性也会被当成“跨域请求”对待，而本地协议不支持 CORS 预检
- 微信公众号复制的文章里带
<img crossorigin="anonymous">，粘贴到本地编辑器后必然加载失败
怎么快速识别并清理本地文件里的 crossorigin 属性
不是所有场景都需要删，但只要你在本地开发、双击打开、或用 Live Server 以外的简易方式预览，就该默认移除它。手动或脚本处理都行：
- 用文本编辑器全局搜索
crossorigin="anonymous"或crossorigin=，替换成空字符串 - 正则替换（适用于批量处理）：
<img([^>]*)crossorigin\s*=\s*["']?anonymous["']?([^>]*)>→<img$1$2> - 如果用 VS Code，可启用“在文件中查找”，勾选“使用正则表达式”，输入
crossorigin\s*=\s*["']?anonymous["']?
什么时候才该保留 crossorigin="anonymous"
只在明确走 HTTP/HTTPS 协议、且资源来自其他域名（如 CDN）时才需要它。典型场景：
- 从
https://cdn.jsdelivr.net加载第三方<script>，同时想捕获完整错误堆栈（避免Script Error） - WebGL 渲染远程图片，需确保
texImage2D能正常读取像素数据 - 使用
integrity属性校验资源完整性时，crossorigin是强制配套项
本地开发阶段误留它，就像给自行车装飞机引擎——不仅没用，还会卡住链条。
