根本原因是file://协议下origin为null触发浏览器强制cors拦截；唯一合规解法是启用http服务，如live server插件、npx http-server或vite开发服务器，使页面运行在http://或https://协议下。
ES Module 的跨域脚本加载报错（如 Access to script at '...' from origin 'null'）根本不是“跨域请求失败”，而是浏览器对 file:// 协议下模块加载的强制拦截——因为模块系统默认启用 CORS 检查，而 file:// 没有合法 origin，导致 origin === null，被直接拒绝。真正的解法不是改代码或加 header，而是让页面运行在合法协议（http:// 或 https://）下。
必须用 HTTP 服务代替 file:// 直接打开
本地双击 HTML 文件走的是 file:// 协议，此时所有 <script type="module"></script> 的 import 都会因 origin 为 null 被拦。这是浏览器行为，无法通过前端代码绕过。唯一稳定、通用、符合规范的解法是启动一个本地 HTTP 服务器。
- VS Code 用户装 Live Server 插件，右键 HTML → “Open with Live Server”，自动起
http://127.0.0.1:5500/xxx.html - 命令行用户可直接运行
npx http-server -c-1（禁用缓存 + 默认支持 CORS），终端会输出可点击地址 - Vite 项目直接
npx vite，开发服务器原生兼容 ES 模块路径解析与 HMR
别碰 --allow-file-access-from-files 这类参数
Chrome/Edge 94+ 已彻底废弃该启动参数。即使旧版本能临时生效，也仅适用于纯页面调试，不支持 Service Worker、iframe 内嵌、Web Components 等场景，且每次都要手动带参启动，无法用于团队协作或 CI 流程。
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
- 它不解决 origin === null 的本质问题，只是弱化部分限制
- 无法让模块 import 正常工作，仍会报 “CORS policy: origin is null”
- 属于已被淘汰的 hack 方式，不应写入开发流程
确保模块路径是相对或绝对 URL，不依赖裸导入
ESM 要求所有 import 路径必须是有效 URL（如 ./utils.js、/src/main.js、https://cdn.example.com/lib.js），不能写 import 'lodash' 这类裸导入——后者需要构建工具（如 Vite、Webpack）或导入映射（<script type="importmap"></script>）支持。
- 本地模块一律用相对路径（
./或../开头），避免路径歧义 - 若需加载 CDN 脚本，目标服务必须返回
Access-Control-Allow-Origin: *响应头 - Data URL 或 Blob URL 可作为模块源，但 MIME 类型必须为
text/javascript
开发阶段代理 API 请求，而非硬改模块加载逻辑
如果你的模块里还包含 fetch 调用后端接口，并因此报 CORS，那是另一层问题：它和 ESM 加载无关，属于 XHR/fetch 的跨域策略。此时应在开发服务器中配反向代理，把 /api/xxx 代理到真实后端，让请求变成同源。
- Vite 中配置
server.proxy，例如将/api代理到http://localhost:3000 - Live Server 或 http-server 不自带代理，需搭配 nginx 或单独启代理服务
- 不要试图在模块里用 JSONP 或 document.write 动态插入 script——ESM 不支持运行时动态加载逻辑
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
