加crossorigin属性本身不能让跨域CSS“通”，它只是告诉浏览器走CORS流程，真正起作用的是服务端是否返回匹配的Access-Control-Allow-Origin响应头；漏配服务端则前端加了也白加，甚至导致样式静默丢弃。
加 crossorigin 属性本身不能让跨域 CSS “通”，它只是告诉浏览器“请走 CORS 流程”——真正起作用的是服务端是否返回匹配的 Access-Control-Allow-Origin 响应头。漏配服务端，前端加了也白加，甚至导致样式静默丢弃。
什么时候必须加 crossorigin="anonymous"
仅当满足以下任一条件时才需要显式配置：
-
<link rel="stylesheet">指向的是跨域 URL（比如 CDN 上的https://cdn.example.com/main.css） - 你后续要用 JS 读取
document.styleSheets[n].cssRules（例如做主题检测、样式覆盖率分析） - 你想在加载失败时捕获真实的
onerror事件（比如拿到event.target.href），而不是空事件或完全不触发
不加时，跨域 CSS 加载失败会静默丢弃，document.styleSheets 里可能根本看不到它，onerror 也不可靠。
crossorigin 的值怎么选：只用 "anonymous"，别碰 "use-credentials"
绝大多数前端场景（包括 Google Fonts、Bootstrap CDN、自建静态资源 CDN）都该用 crossorigin="anonymous"：
立即学习“前端免费学习笔记（深入）”；
- 请求头带
Origin，但不发 Cookie 或认证凭据 - 服务端只需返回
Access-Control-Allow-Origin: *或精确域名（如https://your-app.com） - 如果写成
crossorigin="use-credentials"，服务端必须同时返回Access-Control-Allow-Origin（不能是*）和Access-Control-Allow-Credentials: true；只要一个 CDN 没配全，字体/CSS 就静默失效，且控制台可能无提示 - 不要写
crossorigin（无值）或crossorigin=""，语义模糊，部分构建工具会忽略或解析异常
服务端响应头没配对，crossorigin 就是摆设
前端加了 crossorigin="anonymous"，但服务端没返回 Access-Control-Allow-Origin，结果是：
- CSS 文件可能仍能加载（200 状态），但内部
@font-face、url()引用的字体/图片会被拦截，样式不完整 -
onerror可能不触发，或event.error为空，event.target.href不可读 - JS 访问
sheet.cssRules直接抛SecurityError - Nginx 示例配置必须覆盖 CSS 路径：
location ~* \.css$ { add_header Access-Control-Allow-Origin "*"; }
注意：@import 跨域 CSS 永远无效——它无法声明 crossorigin，也不触发 CORS 协商，浏览器直接视为不透明响应并丢弃内容。
构建工具注入的 <link> 常漏配 crossorigin
Webpack/Vite 默认生成的 CSS <link> 标签（如 MiniCssExtractPlugin 输出、Vite 的 <link rel="stylesheet"> 注入）不带 crossorigin 属性，哪怕你资源放在 CDN 上：
- Vite 用户需手动在
index.html中补上，或用插件（如vite-plugin-html）注入 - Webpack 用户可在 HtmlWebpackPlugin 的
templateParameters或自定义html-webpack-plugin钩子中插入 - 动态插入的
<link>必须在appendChild()前设置link.crossOrigin = 'anonymous'，否则无效
最常被忽略的点：本地开发用 file:// 协议时，crossorigin 完全无效，必须用 http://localhost 启动服务才能验证真实行为。
