记一次友链头像破损排查：helmet 的 CORP 默认配置

友链站长突然找我，说我的头像在他那儿裂开了，可我自己打开明明好好的！一顿排查才发现，居然是helmet默认配置偷偷给图片加了“仅限同源”的声明，浏览器乖乖照做就把跨站引用拦了。改一个参数就搞定啦，嘿嘿。想知道这个反直觉的坑具体怎么踩的、怎么填的吗？点进来看看全过程吧！