html本身不能开启cors，es模块加载默认触发跨域校验，需服务端返回access-control-allow-origin等响应头；本地开发必须用http服务器而非file://协议，跨域模块须加crossorigin属性且服务端配置匹配。
HTML 本身不能“开启” CORS，CORS 是服务器响应头控制的机制，不是前端通过 <script></script> 标签或 HTML 配置能主动启用的功能。ESModule 在 HTML 中加载时是否触发跨域校验，取决于是否跨源 + 是否声明 crossorigin 属性 + 服务端是否返回合法 CORS 响应头。
下面分几个关键点说清楚：
<script type="module"> 加载模块时如何处理跨域</script>
- 普通
<script src="https://cdn.com/lib.js"></script>默认不走 CORS，浏览器当作“简单资源”加载（类似<img>），即使跨域也不校验。 - 但
<script type="module" src="https://cdn.com/lib.js"></script>默认就走 CORS 流程，因为 ES Module 规范要求模块加载必须通过 CORS 获取（哪怕同协议、同域名，只要 origin 不同就可能触发）。 - 如果你用
type="module"引入外部模块，浏览器会发起带Origin请求头的 fetch，并检查响应中是否有Access-Control-Allow-Origin。缺这个头，就会报错：Blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present
crossorigin 属性的作用和写法
-
<script type="module" src="https://cdn.com/app.js" crossorigin></script>或<script type="module" src="https://cdn.com/app.js" crossorigin="anonymous"></script>
表示：请以 CORS 模式加载该脚本，并且不携带凭据（cookie、认证头等）。 -
<script type="module" src="https://api.example.com/data.js" crossorigin="use-credentials"></script>
表示：需要带 cookie 等凭据，此时服务端Access-Control-Allow-Origin*不能是 `**，必须精确匹配请求来源（如https://www.php.cn/link/73e4fad7c9a93fbec445b96159ee5f78`）。 - 注意：
crossorigin只是“告诉浏览器走 CORS”，不解决 CORS 问题本身——服务端没配对应响应头，照样失败。
本地开发常见翻车点：file:// 协议下直接双击打开 HTML
- Chrome/Firefox 对
file://协议有额外限制：所有type="module"的 import（包括./utils.js这样的相对路径）都会被当成跨源请求，origin 是null，而服务端不可能返回Access-Control-Allow-Origin: null。 - 报错典型为：
Access to script at 'file:///utils.js' from origin 'null' has been blocked by CORS policy
-
唯一可靠解法是起本地 HTTP 服务器，例如：
-
npx serve（需全局安装serve） python3 -m http.server 8000- VS Code 的 Live Server 插件（默认
http://127.0.0.1:5500，注意调整 import 路径）
-
服务端必须返回正确的响应头
- 对于模块请求（如
/src/main.js），服务端响应中至少要包含：Access-Control-Allow-Origin: https://www.php.cn/link/73e4fad7c9a93fbec445b96159ee5f78
或开放给所有来源（仅限测试环境）：
Access-Control-Allow-Origin: *
- 若用了
crossorigin="use-credentials"，则Access-Control-Allow-Origin必须是具体域名，不能是*。 - 还可配合其他头增强兼容性：
Access-Control-Allow-Methods: GET Access-Control-Allow-Headers: Content-Type
总结操作要点
- 不要在 HTML 里加
<meta http-equiv="Access-Control-Allow-Origin" content="*">—— 完全无效，浏览器根本不读这个。 -
type="module"天然触发 CORS，不是可选行为。 -
crossorigin是客户端声明，不是开关；服务端响应头才是决定性因素。 - 本地开发务必用 HTTP 服务，别双击打开 HTML 文件。
- 生产环境 CDN（如 unpkg、jsdelivr）通常已配置好 CORS，可放心用
type="module"直接引入。
不复杂但容易忽略。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
