object标签本身不触发同源策略检查，与img、script、iframe一样可跨域加载资源但不可由JS读取内容；JS访问contentDocument等操作才受同源限制，跨域时必然失败且无前端绕过方案。
object 标签本身不触发同源策略检查
<object> 加载资源时，浏览器不会像 fetch 或 XMLHttpRequest 那样强制执行同源策略——它和 <img>、<script>、<iframe> 一样，属于“可跨域加载但不可由 JS 读取内容”的豁免行为。
也就是说，你写 <object data="https://cdn.example.com/chart.svg" type="image/svg+xml"></object> 能正常渲染，不是因为“绕过了同源策略”，而是因为浏览器压根没对这个加载动作做同源校验。
真正受限制的是后续的 JS 操作：比如想用 obj.contentDocument 访问 SVG 内部 DOM，或调用 obj.getSVGDocument()，这时才会触发同源检查并报错 Blocked a frame with origin "xxx" from accessing a cross-origin object。
contentDocument 访问失败的典型场景与修复条件
当你试图用 JS 读取 <object> 加载的内容时，是否能成功，只取决于一个事实：data 指向的资源是否与当前页面同源。
立即学习“前端免费学习笔记（深入）”；
- 同源（协议+域名+端口全等）→
obj.contentDocument可读，可操作内部节点 - 跨域 → 即使资源加载成功、SVG 渲染正常，JS 仍无法访问其 DOM，且无 CORS 头可配（
object不走 CORS 流程） - 例外：如果目标资源是纯图片（如
type="image/png"），contentDocument始终为null，跟同源无关——这是类型限制，不是安全拦截
想让跨域 object 可被 JS 操作？没有前端解法
这不是配置问题，是浏览器硬性限制。你不能通过加 crossorigin 属性、改 type、或塞 CSP 指令来解锁跨域 contentDocument 访问。
可行路径只有两条：
- 服务端把资源部署到同域（最直接，推荐用于内部系统）
- 改用
<iframe>+postMessage：让跨域页面在 iframe 中自行暴露有限接口，主页面通过消息通信间接控制，而非直接 DOM 访问
注意：<object> 不支持 postMessage，也不响应 message 事件，这点和 <iframe> 有本质区别。
容易被忽略的兼容性坑点
即使同源，<object> 的 JS 接口在不同浏览器中表现不一：
-
obj.contentDocument在 Chrome/Firefox 中可用，但 Safari 16.4 之前版本可能返回null，需 fallback 到obj.contentWindow?.document - 加载未完成时就访问
contentDocument→ 返回null，必须监听load事件：obj.addEventListener('load', () => { /* now safe */ }) - 若
data指向 HTML 页面且含内联脚本，这些脚本默认会执行（类似 iframe），但它们的全局作用域与父页面隔离——别指望靠它污染window
真正难调试的，往往不是跨域报错，而是“看起来加载了，但 JS 拿不到内容”——先确认是否已触发 load，再查同源性，最后看浏览器兼容表。
