标签完全不支持crossorigin属性，浏览器会忽略该属性且不触发cors流程；其加载的跨域内容无法被js安全访问，替代方案为使用iframe或服务端代理。
object标签不支持crossorigin属性
直接说结论：<object></object> 标签**完全不支持** crossorigin 属性，无论加 crossorigin="anonymous" 还是留空，浏览器都会忽略，也不触发 CORS 请求流程。
这是 W3C 规范明确限定的：只有 <img>、<script></script>、<link rel="stylesheet">、<video></video>、<audio></audio> 这五类标签支持 crossorigin；<object></object>、<iframe></iframe>、<embed></embed> 均不在支持列表中。
- 你给
<object data="https://cdn.example.com/widget.swf"></object>加crossorigin→ 浏览器不发 Origin 头，也不校验响应头，行为和没加一样 - 即使服务端返回了
Access-Control-Allow-Origin: *，<object></object>也用不上这个头 - 试图用 JS 读取
<object></object>内容（比如获取其 contentDocument）仍会因同源策略被拦，且错误和 CORS 无关，而是Blocked a frame with origin "xxx" from accessing a cross-origin frame
object跨域内容无法被JS安全访问
<object></object> 加载跨域资源（如 PDF、SWF、HTML 文档）后，脚本几乎无法与其交互——这不是配置问题，是浏览器强制的安全隔离。
典型限制包括：
-
obj.contentDocument返回null或抛SecurityError -
obj.getSVGDocument()（对 SVG）在跨域时返回null - 无法通过
postMessage向跨域<object></object>发送消息（它不是Window对象，没有contentWindow）
注意：这和 <iframe></iframe> 不同。<iframe></iframe> 至少支持 postMessage 和 frame-ancestors 控制；<object></object> 几乎无标准通信通道。
替代方案：用 iframe + CSP 或服务端代理
如果你需要加载并操作跨域内容，<object></object> 不是可行路径。实际可用的方案只有两个：
- 换用
<iframe src="https://other.com/doc.pdf"></iframe>，并确保目标页设置了Content-Security-Policy: frame-ancestors 'self' https://your-domain.com'（PDF 等静态资源本身不执行 JS，但若嵌的是 HTML 页面，此头才起作用） - 服务端代理：前端请求自己的后端接口（如
/api/proxy?url=https%3A%2F%2Fother.com%2Fdoc.pdf），后端发起 HTTP 请求并透传响应（含正确 MIME 类型），绕过浏览器同源限制 - 避免依赖客户端读取：把需要的数据（如 PDF 元信息、SVG 节点结构）提前由服务端解析好，通过 API 返回 JSON，前端只渲染结果
最后提醒：别在 <object></object> 上浪费时间配 CORS 响应头或尝试各种 HTML 属性组合——规范不支持，浏览器不实现，调试只会卡在“为什么没反应”上。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
