crossorigin属性仅对、、（rel为stylesheet或preload+as=font等）、、生效，需配合服务端CORS响应头才有效；、、等加了也无效。
crossorigin 属性不是“加了就能跨域”的开关，它只在特定标签上生效，且必须和服务端的 CORS 响应头配合才能起作用；单独加属性，浏览器照样报错、照样拦截。
哪些 HTML 标签支持 crossorigin
只有明确列出的几个元素能用：<img alt="HTML中的crossorigin属性有什么用？" >、<script></script>、<link>（仅当 rel="stylesheet" 或 rel="preload" 且 as="font" 等场景）、<video></video>、<audio></audio>。其他标签如 <iframe></iframe>、<div>、<code><link rel="icon"> 加了也无效，浏览器直接忽略。
常见误操作：<link rel="icon" href="/favicon.ico" crossorigin> —— 这个属性不会触发 CORS 请求，也不会影响 favicon 加载逻辑。
crossorigin="anonymous" 和 crossorigin="use-credentials" 的区别
两者核心差异在于是否携带用户凭证（cookie、HTTP 认证等）：
立即学习“前端免费学习笔记（深入）”；
-
crossorigin="anonymous"：不带凭证，请求头含Origin，但不含Cookie；服务端只需返回Access-Control-Allow-Origin: https://your-domain.com（不能是*）即可 -
crossorigin="use-credentials"：带凭证，请求头同时含Origin和Credentials；服务端必须返回Access-Control-Allow-Origin: https://your-domain.com+Access-Control-Allow-Credentials: true，缺一不可 - 不写值（如
<script crossorigin src="..."></script>）等价于anonymous，但语义模糊，建议显式写出
为什么 script 错误捕获需要 crossorigin
没有 crossorigin 的跨域脚本出错时，window.onerror 只收到 "Script error."，堆栈和文件名全被屏蔽。加上后，只要服务端响应头匹配，就能拿到完整错误信息。
Webpack / Vite 构建的动态 import() chunk 默认不带 crossorigin，一旦部署到 CDN 就无法上报真实错误——这是线上监控失效的高频原因。
示例正确写法：<script src="https://cdn.example.com/chunk-abc.js" crossorigin="anonymous"></script>
和 integrity 配合使用时的注意事项
integrity 必须搭配 crossorigin 才会生效。浏览器校验资源 hash 前，先走 CORS 流程；若没加 crossorigin，即使 integrity 值正确，也会因跨域限制跳过校验。
典型组合：<script src="https://cdn.example.com/lib.js" crossorigin="anonymous" integrity="sha384-..."></script>
容易踩的坑：服务端返回了 Access-Control-Allow-Origin: *，但用了 crossorigin="use-credentials" —— 因为 * 和 use-credentials 互斥，浏览器直接拒绝加载。
