<object>标签无法阻止下载，是否下载取决于服务端的Content-Disposition响应头和MIME类型；强制下载常见原因包括attachment头、MIME错误、跨域缺失CORS、PDF损坏；预览需服务端返回inline头、正确MIME、CORS支持；download属性对<object>无效。
<object> 标签本身没有“阻止下载”的能力——它只是内嵌资源的容器，是否下载完全取决于服务端返回的 Content-Disposition 响应头和浏览器对 MIME 类型的处理逻辑。你看到的“自动下载”，其实是浏览器发现响应头里有 attachment，或无法渲染该类型（比如二进制文件、不支持的格式），于是 fallback 到下载行为。
为什么 object 标签会触发下载而不是预览
常见原因不是标签写错了，而是服务端返回了强制下载的响应头：
-
Content-Disposition: attachment; filename="xxx.pdf"→ 浏览器无视<object>，直接弹下载 - MIME type 错误或缺失（如返回
text/plain而非application/pdf）→ 浏览器不敢渲染，转为下载 - 跨域且未配
Access-Control-Allow-Origin→ 预览失败，部分浏览器静默降级为下载（尤其 Safari） - PDF 文件本身带加密或损坏 →
<object>渲染失败，浏览器无提示地触发下载
如何让 object 正常预览而非下载
关键不在前端改 <object> 属性，而在确保服务端响应符合预览前提：
- 必须返回
Content-Disposition: inline（不是attachment） - MIME type 要准确：PDF 用
application/pdf，图片用对应类型（image/png等） - 跨域资源需服务端加响应头：
Access-Control-Allow-Origin: *或具体域名 - 避免在 URL 后加
?t=xxx类随机参数却没缓存控制 → 可能触发某些 CDN 的默认 attachment 行为
object 标签里加 download 属性有用吗
没用。download 属性只对 <a> 标签生效，<object> 完全忽略它。写成这样：
立即学习“前端免费学习笔记（深入）”；
<object data="report.pdf" type="application/pdf" download="report.pdf"></object>
其中 download 是无效属性，浏览器既不报错也不执行。
真要禁下载，得从源头切断
如果目标是“用户点开页面只能看，不能保存”，仅靠 <object> 无解。因为：
- 右键“另存为”始终存在（无法用 JS 彻底屏蔽）
- Network 面板可直接复制响应体（Blob / PDF 流）
- 截图、录屏等物理层手段不可防
真正可控的做法只有两个：服务端做权限校验 + 动态生成带水印/时效的临时 URL；或改用 pdf.js 渲染并移除工具栏下载按钮（但源文件 URL 仍可能被扒）。别指望一个 HTML 标签属性能解决版权控制问题。
