crossorigin属性通过启用CORS请求机制解决跨域图片像素读取失败问题：它要求浏览器以CORS模式发起请求并校验服务端Access-Control-Allow-Origin响应头，而非绕过跨域限制；anonymous不发凭据且允许*，use-credentials需携带凭据且Origin必须明确指定；但仅前端加该属性无效，服务端必须返回合法CORS头，且需注意协议一致、重定向链路、资源状态等调试要点。
crossorigin属性为什么能解决跨域图片加载失败
当用 JavaScript 读取 <img> 的像素数据（比如调用 canvas.getContext('2d').getImageData()）时，如果图片来自不同源且服务端没配 CORS 头，浏览器会直接抛出 SecurityError: Failed to execute 'getImageData' on 'CanvasRenderingContext2D': The canvas has been tainted by cross-origin data.。加 crossorigin 属性不是“绕过”跨域限制，而是告诉浏览器：请用 CORS 模式发起请求，并检查响应头是否包含 Access-Control-Allow-Origin。没这个属性，默认是“不带凭据的普通跨域请求”，但结果仍被标记为污染。
crossorigin="anonymous" 和 crossorigin="use-credentials" 的区别
两者都触发 CORS 请求，但认证行为不同：
-
crossorigin="anonymous"：不发送 Cookie、HTTP 认证头；服务端响应必须带Access-Control-Allow-Origin: *或明确指定来源（不能是*同时带Access-Control-Allow-Credentials: true） -
crossorigin="use-credentials"：携带 Cookie 和认证信息；服务端必须返回Access-Control-Allow-Origin具体域名（不能是*），且必须有Access-Control-Allow-Credentials: true
绝大多数公开图床（如 unpkg、Cloudflare Images）只支持 anonymous；内部系统或登录态敏感图片才可能需要 use-credentials。
只加crossorigin属性还不够：服务端必须配合
前端加了 crossorigin，但服务端没返回合法 CORS 响应头，图片照样无法读取——此时控制台会报 Cross-Origin Request Blocked 或 Failed to load resource: net::ERR_FAILED。
立即学习“前端免费学习笔记（深入）”；
- 静态资源（如 Nginx）需显式添加：
add_header 'Access-Control-Allow-Origin' '*';（仅限anonymous场景） - 动态接口（如 Express）需设置：
res.header('Access-Control-Allow-Origin', 'https://your-site.com'); - CDN（如 Cloudflare）可在缓存规则中开启「CORS」或自定义响应头
- 注意：若图片路径是 data URL 或 blob URL，
crossorigin无效，也不需要
常见误用和调试技巧
加了 crossorigin 却依然报错，大概率是以下原因：
- 图片 URL 是 HTTP 协议，而页面是 HTTPS —— 浏览器直接拦截，不会发请求，控制台显示
Mixed Content - 服务端返回 302 重定向，而重定向目标地址没配 CORS 头（CORS 不继承重定向）
- 图片本身 404 或 500，错误被掩盖在 CORS 报错之后；先在 Network 面板里点开该图片请求，看 Status 和 Response Headers
- 用了
crossorigin=""（空值），等价于crossorigin="anonymous"，但可读性差，建议写全 - Canvas 绘制后立刻调用
getImageData()，但图片还没加载完；必须监听img.onload再操作
真正卡住的地方往往不在前端属性怎么写，而在服务端响应头是否生效、重定向链路是否干净、协议是否一致——这些比加一个属性难查得多。
