HTML里加meta标签完全没用，因为Access-Control-Allow-Origin等CORS响应头只能由服务器在HTTP响应中返回，浏览器不识别HTML中的meta标签；crossorigin属性仅声明CORS加载模式，必须与服务端返回的匹配响应头配合才生效。
HTML里加有用吗
完全没用。浏览器压根不认这个标签，Access-Control-Allow-Origin这类响应头只能由服务器在HTTP响应中真实返回，meta标签里的http-equiv只支持Content-Type、Refresh等极少数头，CORS相关字段不在支持列表里。
常见翻车场景：
- 本地改了HTML、清缓存、换浏览器重开，错误照旧——因为响应头没变
- 控制台报
Blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present，但你还在HTML里反复加meta - 误以为“加了就授权”，实际只是前端单方面喊话，服务端没回应等于白说
<script>加crossorigin属性后还是Script error
加crossorigin="anonymous"只是解除错误堆栈屏蔽的必要条件，不是充分条件。它告诉浏览器：“请走CORS流程，并允许JS读取错误详情”，但服务端必须同步返回匹配的Access-Control-Allow-Origin响应头，否则仍卡在Script error.。
典型失效链路：
立即学习“前端免费学习笔记（深入）”；
- 前端写了
<script src="https://cdn.com/app.js" crossorigin="anonymous"></script>，但CDN响应里没Access-Control-Allow-Origin - 服务端返回了
Access-Control-Allow-Origin: *，但前端用了crossorigin="use-credentials"→ 浏览器直接拒绝加载 - 页面跑在
http://localhost:3000，服务端却只配了Access-Control-Allow-Origin: https://myapp.com→ 源不匹配，拦截
哪些HTML标签会真正触发CORS校验
不是所有跨域加载都走CORS。只有「跨域 + 浏览器主动发起、且脚本需要读取响应内容」才会触发完整校验（包括预检OPTIONS）。
关键区分点：
-
<img src="https://other.com/a.jpg">：默认不触发；但若后续用canvas.drawImage()读像素，就必须加crossorigin="anonymous"且服务端配头 -
<script src="https://cdn.example.com/lib.js"></script>：默认不触发；加crossorigin才要求服务端返回Access-Control-Allow-Origin -
fetch('https://api.other.com/data')：一定触发，无论方法、headers、凭据 -
<iframe src="https://other.com/page.html"></iframe>：不触发CORS，但JS访问其window会被同源策略拦截；需目标页自己返回Content-Security-Policy: frame-ancestors
Webpack/Vite打包时动态import的chunk怎么配crossorigin
静态<script>好改，但import('./module.js')加载的chunk默认不带crossorigin，导致错误监控收不到堆栈、SRI校验失效。
配置方式：
- Webpack（
webpack.config.js）：output.crossOriginLoading = 'anonymous' - Vite（
vite.config.ts）：build.rollupOptions.output.crossOrigin = 'anonymous' - 注意：如果chunk请求带cookie或认证信息，才考虑
'use-credentials'，但绝大多数CDN场景用'anonymous'就够了
最容易被忽略的是：这些配置只影响构建产物，不解决服务端没返回CORS头的问题。即使配对了，服务端响应头缺失或不匹配，依然会拦截。
