Tampermonkey跨域异常：单一用户特定页面URL未被允许问题排查

1. 报错与@connect指令的关联 #

这个报错确实和Tampermonkey的@connect指令直接相关，但属于非典型触发场景——不是所有跨域请求都必须加@connect，但当脚本无法复用页面的跨域权限时，缺少该指令就会触发这个错误。

2. 多数场景无需@connect仍正常跨域的原因 #

Tampermonkey的跨域请求有两种执行逻辑：

• 复用页面CORS权限：如果当前页面本身已经和目标跨域域名有过交互（比如加载过该域名的图片、脚本、样式，或者页面本身发起过跨域请求且服务器返回了合法的CORS头），浏览器会允许页面上下文向该域名发起请求，脚本直接调用页面的fetch/XMLHttpRequest时，就会自动复用这个权限，不需要额外声明@connect。
• Tampermonkey自动适配：部分情况下，Tampermonkey会自动将脚本的跨域请求伪装成页面发起的，绕过跨域限制，但这个机制依赖页面环境，并非100%稳定。

3. 该用户特定页面报错的具体触发原因 #

用户访问url.com/?article=123时，页面环境出现了和article=456页面的关键差异：

• 123页面没有加载过目标跨域域名的任何资源，也没有发起过与该域名的跨域请求，导致浏览器没有给页面授予该域名的跨域权限。
• 此时脚本发起跨域请求，Tampermonkey无法复用页面权限，又没有@connect指令明确声明允许访问该域名，就触发了"URL is not permitted"错误。
• 而456页面刚好加载过目标域名的资源（比如广告、统计脚本、图片等），或者页面本身发起过跨域请求，浏览器已经允许该域名的跨域访问，所以脚本能正常执行。

即使你们的Firefox配置一致，用户的浏览器缓存、页面加载的第三方资源差异（比如123页面因广告屏蔽或服务器策略，没加载某个第三方脚本）也会导致这个差异。

4. 相关核心规则（基于Tampermonkey官方文档） #

• @connect的作用是明确声明脚本允许访问的跨域域名，当脚本直接发起跨域请求（不依赖页面上下文的权限）时，必须添加该指令。
• 如果脚本通过页面的window.fetch/XMLHttpRequest发起请求，且页面本身已获得该域名的跨域权限，则无需@connect。
• 未声明@connect时，Tampermonkey仅允许脚本访问当前页面域名、以及页面已加载过资源的域名。

解决方案 #

在你的Tampermonkey脚本开头添加@connect指令，明确声明目标跨域域名：

// @connect your-target-domain.com

这样无论页面环境如何，Tampermonkey都会允许脚本向该域名发起跨域请求，彻底解决这个场景的报错。

内容的提问来源于stack exchange，提问作者HeartOfGermany