跨域图片加载失败无法用onerror降级，因CORS阻塞静默且不发请求；crossorigin仅升级为CORS请求，需服务端返回Access-Control-Allow-Origin才有效；可靠fallback只能依赖同源资源或内联base64。
跨域图片加载失败不能靠 onerror 降级，它根本不会触发——CORS 阻塞是静默的，浏览器连请求都不发，更不会走错误流程。
crossorigin 属性只影响请求方式，不解决加载失败
给 <img alt="HTML跨域图片加载失败怎么降级？安全属性设置指南" > 加 crossorigin="anonymous" 不会让图片“变能加载”，它只是把普通请求升级为 CORS 请求：带 Origin 头、要求服务端返回 Access-Control-Allow-Origin。如果服务端没配，图片照样白屏或裂图，且控制台可能只报 Blocked by CORS policy，onerror 依然不执行。
- 写
<img src="https://cdn.com/a.jpg" crossorigin="anonymous" alt="HTML跨域图片加载失败怎么降级？安全属性设置指南" >后图片仍不显示 → 先查 Network 面板里该请求的 Response Headers 是否含Access-Control-Allow-Origin -
crossorigin=""和crossorigin="use-credentials"在无服务端配合时等同于没写，别用 - 动态创建的
Image实例，crossOrigin必须在赋值src前设置，顺序错等于白配
canvas 污染报错（tainted canvas）和加载失败是两回事
图片能正常显示 ≠ 能用于 canvas 像素操作。toDataURL() 或 getImageData() 报 SecurityError: The canvas has been tainted，说明你已成功加载图片，但没走通 CORS 授权链。此时降级不是换图，而是绕过像素读取。
- 服务端未返回
Access-Control-Allow-Origin→ 前端加crossorigin没用，必须推动后端或 CDN 配置 - CDN（如 OSS/COS）需单独开启跨域规则，Nginx 配置对它们无效
- 临时调试可用代理接口：
src="/api/proxy?url=https://cdn.com/a.jpg"，但生产环境慎用，有性能和安全风险
真正可靠的 fallback 只有一条路：不依赖跨域资源
所有“跨域图片降级”方案，本质都是避免让跨域图片成为唯一渲染依赖。一旦你把关键视觉内容绑死在外部域名上，就等于把可用性交给了第三方服务器、CDN 状态、甚至 DNS 解析。
立即学习“前端免费学习笔记（深入）”；
- 首屏核心图（如 logo、头像、商品主图）必须用同源资源，或内联
data:image/svg+xml;base64,... - 用
<picture></picture>时，<img alt="HTML跨域图片加载失败怎么降级？安全属性设置指南" >的src必须指向同源兜底图，不能是另一个跨域地址 - 背景图（
background-image）无法用crossorigin，也不触发onerror；改用<img alt="HTML跨域图片加载失败怎么降级？安全属性设置指南" >+ 定位覆盖，才能获得完整控制力
最常被忽略的一点：CORS 错误发生时，图片 DOM 元素的 complete 属性仍可能是 true，load 事件也可能触发——因为浏览器认为“资源已获取”，只是安全策略拦住了后续访问。别信这些状态，得靠服务端响应头说话。
