最稳妥的 CDN CSS 引入方式是使用带 HTTPS 协议、版本号和哈希的完整 URL，并配对 integrity 和 crossorigin 属性；必须置于 <head> 内且 href 以 https:// 开头，否则触发 FOUC 或 404。
直接用带完整 HTTPS 协议、含版本号、嵌入哈希的 CDN URL，配合 integrity 和 crossorigin，是最稳妥的平衡点；不加 integrity 就等于把样式安全交给 CDN 运营商。
为什么必须放在里且 href 要带 https://
浏览器按 HTML 顺序解析，<link rel="stylesheet"> 若写在 <body> 里，或被不可见字符（如 U+2197 ↗）、注释、空格隔开，就会延迟应用样式，造成无样式的 DOM 先闪一下——也就是“FOUC”。更常见的是 href 缺协议，比如写成 cdn.jsdelivr.net/npm/bootstrap@5.3.3/...，浏览器会当成相对路径，最终请求 https://your-site.com/cdn.jsdelivr.net/...，结果是 404 或 net::ERR_ABORTED。
必须满足两个硬条件：
-
<link>标签严格位于<head>内，位置早于<title>或<meta>都可以，但绝不能在<body>中 -
href值必须是以https://开头的完整 URL，例如：https://cdn.jsdelivr.net/npm/bootstrap@5.3.3/dist/css/bootstrap.min.css
如何避免 CDN 缓存导致用户卡在旧 CSS 版本
CDN 强缓存（如 Cache-Control: public, max-age=31536000）下，浏览器根本不会发请求。如果只改文件内容、不改 URL，用户可能几个月都看不到更新——这不是 CDN 慢，是它太“守信”了。
立即学习“前端免费学习笔记（深入）”；
真正可控的做法是让 URL 变化：
- 优先使用带 hash 的构建产物名，例如
style.a1b2c3d4.css，URL 变则缓存自然失效 - 避免依赖
?v=1.2.3这类查询参数，多数 CDN 默认忽略 query string 作为缓存键 - 检查 CDN 控制台是否开启 “Ignore Query String”，若开了，
?v=完全无效 - npm 包的 CDN 地址必须严格匹配 Files 列表路径，比如
tailwindcss没有/dist/tailwind.css，硬写会返回 HTML 错误页，触发 MIME 类型警告
要不要加 integrity 和 crossorigin？加，而且必须配对
不加 integrity，CDN 被劫持或缓存污染时，你完全无法感知用户加载的 CSS 已被篡改；不加 crossorigin，JS 动态加载资源（比如某些组件库内部逻辑）可能因 CORS 失败而初始化失败。
完整写法必须同时出现：
<link rel="stylesheet"
href="https://cdn.jsdelivr.net/npm/bootstrap@5.3.3/dist/css/bootstrap.min.css"
integrity="sha384-QWTKZyjpPEjISv5WaRU9OFeRpok6YctnYmDr5pNlyT2bRjXh0JMhjY6hW+ALEwIH"
crossorigin="anonymous">
注意三点：
-
integrity值必须和 CDN 提供的完全一致，少一个字符就拒绝加载 -
crossorigin="anonymous"必须和 CDN 实际响应头中的Access-Control-Allow-Origin匹配，否则 JS 侧读取样式信息会失败 - 如果用了自定义字体或
@import，也要确保它们的请求同样携带crossorigin，否则字体可能加载失败
本地双击打开 HTML 文件时 CDN 样式不生效
这是 file:// 协议限制：所有外链资源（包括 CDN CSS）都会被浏览器拦截，报 net::ERR_FAILED 或空白页。这不是 CDN 问题，是浏览器安全策略。
解决方法只有一个：
- 启动本地 HTTP 服务，比如
python3 -m http.server 8000，然后访问http://localhost:8000/index.html - VS Code 安装 Live Server 插件，右键“Open with Live Server”
- 任何静态服务器都行，但双击
.html文件永远不行
容易被忽略的是：哪怕只是临时验证 CDN 链接是否有效，也必须走 HTTP 协议——这点没有妥协余地。
