crossorigin="anonymous" 是允许跨域脚本暴露完整错误信息的属性，必须在 script 标签中显式声明，且服务端响应头需含匹配的 access-control-allow-origin，脚本不能被重定向。
crossorigin="anonymous" 是什么，什么时候必须加
当 HTML 用 <script src="https://cdn.example.com/lib.js"></script> 加载跨域脚本时，如果该脚本里抛出了错误（比如 ReferenceError），浏览器默认会把错误信息模糊成 "Script error."——你根本看不到真实报错位置和堆栈。这是因为跨域脚本的错误细节受同源策略限制，除非明确声明信任关系。crossorigin="anonymous" 就是告诉浏览器：“我允许这个脚本在出错时暴露完整错误信息”，前提是服务端响应头里包含 Access-Control-Allow-Origin（哪怕只是 *）。
怎么设才真正生效
光写 crossorigin="anonymous" 不够，必须同时满足三个条件：
-
<script></script>标签里显式加上crossorigin="anonymous"（不能只写crossorigin，那等价于"use-credentials"） - 目标服务器响应头中必须有
Access-Control-Allow-Origin，且值匹配当前页面来源（或为*） - 脚本资源本身不能被重定向（比如 302 到另一个域名），否则 CORS 预检可能失败，
crossorigin会被忽略
常见错误：CDN 返回了 Access-Control-Allow-Origin: *，但没返回 Access-Control-Allow-Headers（其实对 anonymous 模式不需要）；或者用了 crossorigin=""，实际触发的是带凭据模式，而服务端没配 Access-Control-Allow-Credentials: true，导致请求直接被拦。
和 crossorigin="use-credentials" 的区别
绝大多数公开 CDN（如 unpkg、jsDelivr、cdnjs）只支持 anonymous 模式，因为它们不处理 cookies 或认证头。use-credentials 要求服务端响应头必须包含 Access-Control-Allow-Credentials: true，且 Access-Control-Allow-Origin 不能为 *（必须指定具体 origin）。如果你的脚本托管在需要登录态的内部 API 域名下，又想捕获详细错误，才考虑这个模式；否则一律用 anonymous。
验证是否配置成功
打开浏览器开发者工具 → Network 标签页 → 找到那个脚本请求 → 查看 Response Headers 是否含 Access-Control-Allow-Origin，再刷新页面故意触发一个语法错误（比如在脚本末尾加 xxx();），看 Console 是否输出完整堆栈（而不是 "Script error."）。如果仍模糊，检查控制台是否有 CORS error 或 Failed to load resource 提示——那说明请求根本没拿到脚本，crossorigin 还没走到错误上报那步。
容易被忽略的一点：Webpack/Vite 等打包工具生成的 index.html 如果自动注入 script 标签，不会帮你加 crossorigin，得手动补上；另外，动态创建的 document.createElement('script') 也得显式设置 el.crossOrigin = 'anonymous'，不然照样拿不到错误详情。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
