加crossorigin仍Script error是因为它只是必要条件而非充分条件，服务端必须返回匹配的Access-Control-Allow-Origin响应头，否则浏览器仍屏蔽错误细节。
script标签加crossorigin为什么还是Script error.
因为浏览器强制屏蔽跨域脚本的错误细节，crossorigin只是解除屏蔽的**必要条件**，不是充分条件。它只告诉浏览器：“请走 CORS 流程，并允许 JS 读取错误堆栈”，但服务端必须同步返回匹配的 Access-Control-Allow-Origin 响应头，否则照样卡在“Script error.”。
常见失效链路：
- 前端写了
<script src="https://cdn.com/app.js" crossorigin="anonymous"></script>，但 CDN 响应头里没有Access-Control-Allow-Origin - 服务端返回了
Access-Control-Allow-Origin: *，但前端用了crossorigin="use-credentials"→ 直接被浏览器拒绝，连加载都失败 - 页面跑在
http://localhost:3000，服务端却只配了Access-Control-Allow-Origin: https://myapp.com→ 源不匹配，拦截
anonymous 和 use-credentials 到底怎么选
选哪个，取决于你是否需要让这个脚本携带 Cookie 或认证信息——但绝大多数 CDN 场景根本不需要。
crossorigin="anonymous" 是默认推荐值：
立即学习“前端免费学习笔记（深入）”；
- 请求头带
Origin，但不发 Cookie、不发 HTTP 认证头 - 服务端可返回
Access-Control-Allow-Origin: *或精确域名 - 能捕获完整错误堆栈，支持
integrity校验
crossorigin="use-credentials" 极少用在 <script> 上：
- 请求头带
Origin+ 凭据（如 Cookie） - 服务端**必须**返回
Access-Control-Allow-Origin: https://your-domain.com（不能是*）+Access-Control-Allow-Credentials: true - 实际中，脚本本身一般不依赖 session，强行加反而容易因响应头不全而加载失败
Webpack/Vite 动态 import 的 chunk 怎么配 crossorigin
静态 <script> 标签好改，但 import('./module.js') 加载的 chunk 默认**不带** crossorigin 属性，错误监控收不到堆栈，SRI 也无效。
Webpack 配置方式（webpack.config.js）：
module.exports = {
output: {
publicPath: 'https://cdn.example.com/',
crossOriginLoading: 'anonymous' // 或 'use-credentials'
}
}Vite 配置方式（vite.config.ts）：
export default defineConfig({
build: {
rollupOptions: {
output: {
crossOrigin: 'anonymous'
}
}
}
})没配的话，生成的 chunk script 标签就是裸奔状态：<script src="https://cdn.com/chunk-abc.js"></script> → 跨域加载后仍报 “Script error.”。
验证是否真生效：三步检查法
别只看 HTML 写没写 crossorigin，关键看网络请求的实际响应头和行为：
- 打开浏览器 DevTools → Network 面板 → 找到那个 JS 请求 → 点开 Headers → 看 Response Headers 里有没有
Access-Control-Allow-Origin，值是否匹配当前页面源（注意协议、端口、斜杠） - 如果用了
crossorigin="use-credentials"，还要确认是否有Access-Control-Allow-Credentials: true - 在控制台手动触发一个错误（比如在该脚本里写
throw new Error('test')），看window.onerror捕获到的message、filename、lineno是否非空
最容易被忽略的是：本地双击打开 HTML（file:// 协议）时，crossorigin 完全被忽略，无论服务端怎么配都无效。必须走 HTTP(S) 服务才能触发 CORS 校验。
