ES模块跨域需CORS校验，因type="module"默认启用crossorigin="anonymous"，要求CDN响应头含Access-Control-Allow-Origin，否则加载失败；普通script无此限制。
在跨域 CDN 上引入 ES 模块时，浏览器会强制校验 CORS 策略——这不是 JS 语法问题，而是安全机制。只要 <script type="module"> 的 src 指向的是不同源（协议、域名、端口任一不同）的 URL，浏览器就会要求该资源响应头中必须包含合法的 Access-Control-Allow-Origin，否则直接阻断加载，控制台报错类似：
Access to script at 'https://cdn.example.com/lib.mjs' from origin 'https://myapp.com' has been blocked by CORS policy.
为什么 ESModule 对 CORS 更敏感？
普通 <script>（非 module）加载 JS 文件属于“无 CORS 检查”的传统脚本行为；而 type="module" 明确启用模块系统，浏览器将其视为“可跨域读取并执行的结构化资源”，因此必须验证来源合法性，防止恶意站点通过模块方式窃取 CDN 上的敏感逻辑或 token。
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
关键点：
– type="module" 默认开启 CORS 检查（等价于 crossorigin="anonymous"）
– 即使你没写 crossorigin 属性，它也隐式生效
– 如果 CDN 返回的响应头里没有 Access-Control-Allow-Origin，模块加载失败，整个依赖链中断
CDN 提供方需配置的响应头
要让 ES 模块被跨域正常引入，CDN 服务端必须在返回 .mjs / .js（作为模块使用）时带上以下至少一项响应头：
立即学习“Java免费学习笔记（深入）”；
-
Access-Control-Allow-Origin：可设为具体源（如
https://myapp.com）或通配符*（但注意：*与凭证不可共存） -
Access-Control-Allow-Credentials：若前端需要带 cookie 或 auth header，此项必须为
true，且Access-Control-Allow-Origin不能是*，必须精确指定源 - Access-Control-Allow-Headers（如需自定义 header）和 Access-Control-Allow-Methods（如用到非 GET 请求）通常不涉及模块加载，但某些 CDN 边缘规则可能触发预检，建议一并配置
前端开发者能做的兼容处理
你无法控制第三方 CDN 的响应头，但可以主动适配：
- 优先选用已明确支持 CORS 的公共模块 CDN，如 Skypack、esm.sh、JSPM，它们默认返回
Access-Control-Allow-Origin: * - 避免直接引用未声明 CORS 支持的静态 CDN（如某些 Nginx 托管的 raw JS），改用构建时打包或 proxy 中转
- 若必须用自有 CDN，可在构建阶段加一层代理（如 Vite 的
server.proxy或 Nginx 反向代理），把跨域请求转为同源，绕过浏览器检查 - 临时调试可用
crossorigin="anonymous"显式声明（虽默认已有，但显式写出便于排查）；禁用凭证时可加crossorigin="anonymous"，需凭证时用crossorigin="use-credentials"并确保后端配合
常见误区提醒
– 不是加了 type="module" 就能自动跨域，它反而更严格
– Access-Control-Allow-Origin: * 对纯前端模块加载足够，但一旦涉及 fetch + credentials 或 service worker 缓存，就得用具体源
– 本地 file:// 协议下所有模块加载均失败（origin 为 null），这与 CDN 无关，属浏览器硬限制，必须走 HTTP 服务预览
– ESM 动态导入 import() 同样受 CORS 约束，不能绕过
