核心是前端crossorigin属性与服务端Access-Control-Allow-Origin响应头必须配对生效；缺一不可，否则Canvas报tainted错误或静默失败。
跨域管理远程图片资源，核心就一条：前端加 crossorigin 属性只是“发起请求的钥匙”，服务端返回 Access-Control-Allow-Origin 响应头才是“开门的锁”——缺一不可，且必须配对生效。
为什么加了 crossorigin="anonymous" 还报 "tainted canvas"
这不是前端写错了，而是浏览器根本没走通 CORS 流程。常见真实原因：
- 图片 URL 是
file://协议或 VS Code Live Server 启动的本地 HTTP 服务，但图片源（如 OSS、CDN）未配响应头 → 浏览器静默失败，Network 面板里看不到完整响应 - 服务端确实返回了
Access-Control-Allow-Origin: *，但图片 URL 带 query 参数（如?v=2.1.0），而 CDN/Nginx 缓存策略漏配add_header，导致缓存命中时 CORS 头被丢弃 - 你用了
crossorigin="use-credentials"，但服务端只返回Access-Control-Allow-Origin: *—— 这是明确禁止的，浏览器直接拒收响应体 -
crossorigin属性在设置src之后才赋值，例如：img.src = url; img.crossOrigin = 'anonymous';→ 无效
crossorigin="anonymous" 和 "use-credentials" 怎么选
绝大多数场景只用 anonymous；use-credentials 不是“升级版”，而是特例，语义和约束完全不同：
-
crossorigin="anonymous"→ 请求不带 Cookie、Authorization 等凭据；服务端只需返回Access-Control-Allow-Origin: *（不能同时设Access-Control-Allow-Credentials: true） -
crossorigin="use-credentials"→ 请求会带上 Cookie 和认证头；服务端必须返回Access-Control-Allow-Origin: https://your-site.com（不能为*）且Access-Control-Allow-Credentials: true - 写错值（如
crossorigin="xyz"或留空）→ 浏览器按非 CORS 模式发起请求 → 图片能显示，但 Canvas 必然污染
background-image 跨域为啥没报错却读不到像素
CSS 的 background-image 不支持 crossorigin 属性，这是规范限制，不是写法问题。后果很隐蔽：
立即学习“前端免费学习笔记（深入）”；
- 图片可能静默不加载（控制台无错误，只显示空白背景）
- 即使显示了，
getComputedStyle(el).backgroundImage可能返回空 - 一旦你用 canvas 截图或分析该元素，仍会触发 “tainted canvas” 错误
- 真正解法只有两个：后端给图片资源配好
Access-Control-Allow-Origin响应头，或用<img crossorigin="anonymous">+object-fit替代
开发阶段绕不开服务端时的临时方案
仅限开发验证，严禁上生产：
- 用
fetch+createObjectURL中转：先 fetch 图片（此时走 JS 的 CORS 控制），再生成 blob URL 给<img>→ 完全绕过crossorigin依赖；缺点是增加一次网络请求、无法利用 CDN 缓存 - 起本地代理（如
npx local-web-server --cors），把远程图片路径代理到同源地址下 - 若图片来自 GitHub、Unsplash 等公开图床，它们多数已配
Access-Control-Allow-Origin: *，可直接用；但私有 CDN 或静态资源站几乎默认不配
最常被忽略的一点：CORS 头必须作用于图片资源本身，而不是 HTML 页面。检查 Network 面板中图片请求的 Response Headers，确认是否含 Access-Control-Allow-Origin 且值匹配当前域名——这才是唯一可信的验证方式。
