响应式图片单纯显示不触发跨域报错，但用于Canvas等JS操作时需CDN配置CORS头且HTML中img标签显式添加crossorigin="anonymous"属性，缺一不可。
响应式图片（srcset、sizes）本身不触发跨域像素读取，所以**单纯显示跨域CDN图片不会报错**。但一旦你后续用 JavaScript 操作这些图片（比如画到 Canvas、获取尺寸、调用 toDataURL()），就立刻进入跨域限制区——这时必须同时满足服务端和前端两方面条件，缺一不可。
CDN 必须返回正确的 CORS 响应头
这是前提，没有它，前端所有操作都白搭：
- 在 CDN 控制台的「HTTP 响应头」配置页，添加一项：
参数：Access-Control-Allow-Origin
取值：指定你的主站域名（如https://www.example.com），生产环境不建议用*（尤其涉及 cookie 或认证时） - 如果资源需支持预检（例如带自定义 header 或 credentials），还要补全：
Access-Control-Allow-Methods: GET, OPTIONSAccess-Control-Allow-Headers: X-Requested-WithAccess-Control-Max-Age: 86400 - 确认 CDN 节点已生效：打开 DevTools → Network → 找到某张响应式图片 → 查看 Response Headers 中是否含上述字段，且值匹配当前页面来源
HTML 中的响应式标签要显式声明 crossorigin
DeepBI DHTML 页面生成器
下载
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
- 对单图使用
srcset的情况：
- 对
crossorigin要加在最内层的
- 注意：
crossorigin="anonymous"表示不带凭证（如 cookie）；若需带凭证，前后端必须同步设为use-credentials+Access-Control-Allow-Credentials: true
JS 动态加载响应式图片时别漏掉 crossOrigin 属性
如果你用 JS 创建 Image 实例来预加载或做懒加载，不能只写 img.src = url：
- 正确顺序：
const img = new Image();<br>img.crossOrigin = 'anonymous'; // 必须在 set src 之前<br>img.src = 'https://cdn.example.com/photo.webp';
- 若用
fetch+Blob构造图片 URL，仍会污染 canvas——因为 blob URL 不携带 origin 信息，浏览器无法验证 CORS 授权，这种绕过方式无效 - 验证是否成功：图片加载完成后绘制到 canvas，再调用
ctx.getImageData(0, 0, 1, 1)不报错，说明未被污染
替代方案：没权限改 CDN 配置时怎么办
当 CDN 是第三方（如图床、CDNaaS）且不开放响应头设置，或你无管理权限：
- 优先换用默认支持 CORS 的公开图床（如 Cloudinary、ImgBB、GitHub raw 链接），它们通常已配好
Access-Control-Allow-Origin: * - 自己后端写一个代理接口（如
/api/proxy-image?url=xxx），由服务端发起请求并透传响应头，前端请求自己的域名即可绕过限制（但会增加延迟和服务器压力） - 纯前端无法真正绕过：base64 编码、canvas drawImage 后再 toDataURL、伪造 header 等方法均无效，浏览器层面已锁定“污染”状态
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
