crossorigin="anonymous"是window.onerror捕获跨域脚本完整错误堆栈的必要前提，但需服务端返回匹配的Access-Control-Allow-Origin响应头才生效；同域脚本无需配置，本地file://协议下该属性完全无效。
crossorigin="anonymous" 是 window.onerror 捕获跨域脚本错误的必要前提
不加 crossorigin，跨域脚本出错时 window.onerror 只能收到 "Script error."，message、filename、lineno 全是空或 null。这不是你监听写错了，是浏览器安全策略硬性限制——它根本没把错误细节交给你。
加了 crossorigin="anonymous" 才可能解锁完整堆栈，但注意：这只是“钥匙”，不是“开门指令”。真正开门靠服务端响应头。
-
crossorigin="use-credentials"几乎不用在脚本上，除非你明确要带 Cookie 加载 JS（极少见，且服务端必须配Access-Control-Allow-Credentials: true） -
crossorigin或crossorigin=""会被浏览器当作anonymous处理，但语义模糊，建议始终显式写crossorigin="anonymous" - 同域脚本加不加
crossorigin都不影响错误捕获，加了只是多走一遍 CORS 流程，没必要
服务端必须返回匹配的 Access-Control-Allow-Origin 响应头
前端写了 crossorigin="anonymous"，但服务端没返回 Access-Control-Allow-Origin，或者值不匹配，浏览器会在加载阶段直接拦截，控制台报 Failed to load resource 或空白，window.onerror 根本收不到任何东西。
验证方式很简单：打开 Network 面板，找到那个 JS 请求，看 Response Headers 里有没有 Access-Control-Allow-Origin，且它的值是否等于当前页面的协议+域名（如 https://your-site.com），或通配符 *（仅限 anonymous 场景）。
立即学习“前端免费学习笔记（深入）”；
- 如果服务端返回
Access-Control-Allow-Origin: *，但前端用了crossorigin="use-credentials"→ 请求直接失败 - 如果服务端只配了
https://a.com，而页面实际跑在http://localhost:3000→ 不匹配，CORS 协商失败 - CDN 缓存了旧响应头（比如没透传 CORS 头）→ 清缓存或加版本号强制刷新
Webpack/Vite 构建的动态 chunk 默认不带 crossorigin
静态 <script> 标签好配，但现代项目大量使用 import('./module.js') 加载代码块。这些 chunk 脚本默认不走 CORS，即使你 HTML 里写了 crossorigin，也完全不影响它们——结果还是 Script error.。
必须在构建配置里显式开启：
- Webpack：在
webpack.config.js的output中设crossOriginLoading: 'anonymous' - Vite：在
vite.config.ts的build.rollupOptions.output中设crossOrigin: 'anonymous' - 没配的话，Network 面板里能看到 chunk 请求发出去了，但 Request Headers 里没有
Origin，服务端自然不会返回 CORS 头
本地 file:// 协议下 crossorigin 完全失效
双击打开 HTML 文件（file:// 协议），无论怎么写 crossorigin，浏览器都会忽略，错误照样被屏蔽为 Script error.。这不是配置问题，是浏览器对本地文件的 CORS 策略限制。
想验证效果，必须用本地服务启动，比如：npx serve、python -m http.server、或 Vite/Webpack Dev Server。
另外，<link rel="stylesheet"> 或 <link rel="icon"> 加 crossorigin 对脚本错误捕获毫无作用——它们不执行 JS，也不触发 window.onerror 的脚本错误回调。
