需确保图片服务端返回Access-Control-Allow-Origin头且前端img.crossOrigin='anonymous'，Nginx仅在静态托管图片时可配置add_header，代理场景需透传后端CORS头。
React 应用部署在 Nginx 上后，若前端通过 canvas.drawImage() 加载其他域名的图片（如 CDN 或第三方图床），浏览器会因跨域限制抛出 SecurityError: Failed to execute 'toDataURL' on 'HTMLCanvasElement' 错误。这本质不是 React 或 Nginx 的问题，而是浏览器的 CORS 策略对 Canvas 的“污染”（tainted）保护机制所致。要解决，关键在于：让图片资源响应头中包含合法的 Access-Control-Allow-Origin，且前端加载时显式启用 CORS 模式。
确保图片资源服务器返回正确的 CORS Header
Nginx 本身不生成图片，它只是反向代理或静态服务。因此，跨域 Header 必须由**图片实际所在的服务端**（如 CDN、Node.js API、对象存储 OOS/OSS）返回。Nginx 只能在自己直接提供图片（如 alias 或 root 静态目录）时添加 Header。
如果你的图片确实托管在同台 Nginx 下（例如放在 /var/www/myapp/public/images/），可在对应 location 块中添加：
location /images/ {
alias /var/www/myapp/public/images/;
add_header 'Access-Control-Allow-Origin' '*';
add_header 'Access-Control-Allow-Methods' 'GET, OPTIONS';
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
}
⚠️ 注意：Access-Control-Allow-Origin: * 不允许携带凭据（credentials）。若需 withCredentials: true，必须指定明确域名，如 https://your-app.com。
前端加载图片时必须启用 CORS 模式
即使服务端返回了 CORS Header，若 JS 中用 new Image() 直接赋值 src，浏览器默认以匿名模式（anonymous）请求——此时不会发送 Origin 头，服务端也可能不返回 CORS Header（取决于配置逻辑）；更关键的是，Canvas 无法识别该资源为“可跨域使用”。
正确做法是显式设置 crossOrigin 属性：
-
HTML 中：
-
JS 中：
const img = new Image(); img.crossOrigin = 'anonymous'; // 必须在设置 src 前设置 img.src = 'https://cdn.example.com/photo.jpg'; img.onload = () => { const canvas = document.createElement('canvas'); const ctx = canvas.getContext('2d'); ctx.drawImage(img, 0, 0); console.log(canvas.toDataURL()); // ✅ 不再报错 };
避免常见误区
-
Nginx 代理图片接口时，别只改 proxy_pass 后端响应头：如果 Nginx 是反向代理（如
proxy_pass https://api.example.com/images/），需用proxy_hide_header和add_header组合透传或重写 CORS 头，因为后端响应的 Header 可能被 Nginx 默认过滤（如Access-Control-Allow-Origin）。 -
本地开发（react-scripts）无需 Nginx 配置：create-react-app 的 dev server 内置代理（
setupProxy.js）支持onProxyReq/onProxyRes注入 Header，比配 Nginx 更轻量。 -
SVG 或字体文件也需 CORS：若 Canvas 中绘制含 SVG 图标或使用自定义字体，同样要确保它们的响应头含
Access-Control-Allow-Origin，否则可能触发污染。
验证是否生效
打开浏览器开发者工具 → Network → 找到图片请求 → 查看 Response Headers 中是否包含：
-
Access-Control-Allow-Origin: *（或你的域名） Access-Control-Allow-Methods: GET, OPTIONS- （可选但推荐）
Access-Control-Allow-Credentials: true（如需鉴权）
同时确认控制台无 “CORS header ‘Access-Control-Allow-Origin’ missing” 类型警告。若仍有 Canvas 报错，请检查图片 URL 是否真被加载（而非 404）、crossOrigin 是否设置及时、以及是否存在混合内容（HTTP 图片在 HTTPS 页面中被屏蔽）。
