Атрибут HTML: crossorigin

Атрибут crossorigin, допустимый для элементов <audio>, <img>, <link>, <script> и <video>, обеспечивает поддержку CORS, определяя, как элемент обрабатывает запросы с других доменов, тем самым позволяя настроить запросы CORS для данных, получаемых элементом. В зависимости от элемента, атрибут может быть атрибутом настроек CORS.

Атрибут crossorigin для медиа-элементов является атрибутом настроек CORS.

Эти атрибуты являются перечислимыми и имеют следующие возможные значения:

anonymous

Запрос использует заголовки CORS, а флаг авторизации установлен в 'same-origin'. Обмен данными авторизации пользователя через куки, клиентские сертификаты TLS или аутентификацию HTTP не происходит, если целевой домен совпадает с текущим.

use-credentials

Запрос использует заголовки CORS, флаг авторизации установлен в 'include' и данные авторизации пользователя всегда включаются.

""

Установление имени атрибута в пустое значение, например, crossorigin или crossorigin="", эквивалентно anonymous.

Неверный ключевое слово и пустая строка будут обрабатываться как ключевое слово anonymous.

По умолчанию (то есть, когда атрибут не указан), CORS не используется вообще. Пользовательский агент не запрашивает разрешения на полный доступ к ресурсу, и в случае запроса с другого домена будут применены определенные ограничения, основанные на типе элемента:

Вы можете использовать следующий элемент <script>, чтобы указать браузеру выполнить https://example.com/example-framework.js скрипт без отправки данных авторизации пользователя.

<script
  src="https://example.com/example-framework.js"
  crossorigin="anonymous"></script>

Значение use-credentials необходимо использовать при получении манифеста, требующего данных авторизации, даже если файл находится на том же домене.

<link rel="manifest" href="/app.webmanifest" crossorigin="use-credentials" />

• Обмен ресурсами из разных доменов (CORS)
• Атрибут HTML: rel