加了 crossorigin 属性样式仍不生效，是因为它仅触发 CORS 流程，真正起作用的是服务端返回的 Access-Control-Allow-Origin 响应头；若静态资源（如 CSS）所在 Nginx location 或 CDN 未配置该头，则无效。
为什么加了 crossorigin 样式还是不生效？
因为 crossorigin 本身不解决跨域，它只是告诉浏览器：“这个 CSS 要走 CORS 流程加载”。真正起作用的是服务端返回的 Access-Control-Allow-Origin 响应头——没这个头，加了也白加。常见错误是只给 API 配了 CORS，却忘了静态资源（比如 .css 文件）所在的 Nginx location 或 CDN bucket。
crossorigin="anonymous" 和 crossorigin="use-credentials" 怎么选？
绝大多数情况用 crossorigin="anonymous" 就够了，包括 CDN 托管的第三方 UI 框架、Google Fonts 等公共字体库。
-
crossorigin="anonymous"：请求带Origin头，服务端必须返回Access-Control-Allow-Origin: *或精确匹配域名 -
crossorigin="use-credentials"：请求带Origin+ Cookie，服务端必须返回Access-Control-Allow-Origin: https://your-domain.com（不能是*）且Access-Control-Allow-Credentials: true - 不写值（
<link crossorigin>）等价于anonymous，但建议显式写出，避免歧义
Nginx 必须配的响应头有哪些？
光加 crossorigin 属性没用，服务端必须同步配置。在托管 CSS 的 location 块里至少加这三行：
-
add_header Access-Control-Allow-Origin "*";（生产环境建议替换为具体域名） -
add_header Vary "Origin";（否则 CDN 或代理可能缓存带 CORS 头的响应并返回给非跨域请求） add_header Access-Control-Allow-Methods "GET";
注意：不要在 server 级全局加，避免污染 HTML/JS 接口；也不要加 Access-Control-Allow-Credentials: true，CSS 请求不发 cookie，加了反而导致 Origin: * 失效。
立即学习“前端免费学习笔记（深入）”；
@import 为什么一定失败？
@import 无法声明 crossorigin，也不触发 CORS 协商流程，浏览器会静默忽略其跨域资源（比如字体、背景图），最终样式看似加载成功，实则部分规则未生效。唯一可靠方案是把 @import 全部替换成带 crossorigin 的 <link rel="stylesheet"> 标签，并确保服务端对对应 CSS 文件返回合法 CORS 头。
最易被忽略的一点：即使主 CSS 加载成功，里面 url() 引用的字体或图片仍会被拦截——只要 CSS 带 crossorigin，浏览器就会对这些子资源严格校验 CORS，而不仅仅是主文件。
