为何在Helmet的Content Security Policy中添加脚本哈希无效？

你遇到的问题出在哈希的格式和配置位置上，具体细节和解决方式如下：

1. 哈希必须带算法前缀 #

CSP要求哈希值必须明确标注对应的哈希算法前缀，比如sha256-、sha384-或sha512-不能省略。如果只把纯哈希字符串加到数组里，Helmet会识别为无效源（既不是合法域名，也不是符合规范的哈希格式）。

正确的哈希写法示例：

// Helmet CSP配置示例
app.use(helmet.contentSecurityPolicy({
  directives: {
    scriptSrc: [
      "'self'",
      "'unsafe-eval'",
      "'unsafe-inline'",
      "'sha256-abcdef1234567890abcdef1234567890abcdef1234567890abcdef1234567890'"
    ]
  }
}));

2. 配置位置错误 #

allowedOrigins_script_src这类数组是用来配置合法域名/源地址的（比如https://cdn.example.com），哈希不属于源地址范畴，不能放在这里。哈希需要直接添加到CSP的script-src指令数组中。

3. 哈希计算必须完全匹配内联脚本内容 #

如果前缀和位置都正确但仍有问题，要检查计算哈希的内联脚本内容是否和页面实际执行的完全一致——哪怕多一个空格、换行或分号，都会导致哈希不匹配。

比如你的内联脚本是：

console.log('hello world');

计算哈希时必须使用完全一致的字符串，包括末尾的分号和所有空格。

内容的提问来源于stack exchange，提问作者VikR