Chrome扩展自动点击<a>元素失效，CSP报错为何无法运行？

你的扩展触发的CSP错误，根源不在扩展的安全策略配置，而是**目标网站自身的Content Security Policy（CSP）**在阻止javascript: URL的执行——和你设置的扩展CSP完全无关。

为什么扩展的CSP配置没用？ #

你在manifest.json里配置的content_security_policy只作用于扩展自身的页面（比如背景脚本、弹窗页面），管不到目标网站的页面上下文规则。目标网站的CSP是由网站服务器返回的响应头定义的，用于限制页面内的脚本执行，你的content script无法直接绕过这个规则，除非通过特定权限修改。

报错的直接原因 #

你调用a.click()时，触发了该<a>标签href属性中的javascript:前缀代码，而目标网站的CSP明确禁止了这类内联javascript执行，所以抛出了错误。

解决方法 #

不要通过点击元素触发javascript: URL，而是直接执行对应的逻辑，或者触发元素的事件监听器：

方法1：直接执行href中的代码（适合依赖javascript:的场景）

从<a>标签的href中提取代码，在页面上下文执行：

const a = document.getElementById('ctl00_Main_AssetSearchPanel_DialogContainers_GridContainers_ctl02_BtnName');
// 移除javascript:前缀
const jsLogic = a.href.replace(/^javascript:/i, '');
// 通过临时脚本在页面上下文执行代码
const tempScript = document.createElement('script');
tempScript.textContent = jsLogic;
document.body.appendChild(tempScript);
document.body.removeChild(tempScript);

方法2：触发元素的点击事件监听器（适合绑定了onclick事件的场景）

如果元素的功能是通过addEventListener绑定的点击事件实现的，直接分发点击事件，跳过默认的href行为：

const a = document.getElementById('ctl00_Main_AssetSearchPanel_DialogContainers_GridContainers_ctl02_BtnName');
// 创建不触发默认行为的点击事件
const clickEvent = new MouseEvent('click', {
  bubbles: true,
  cancelable: true,
  view: window
});
// 触发事件
a.dispatchEvent(clickEvent);

额外说明 #

如果目标网站的CSP限制非常严格，上述方法可能仍被拦截，此时需要通过declarativeNetRequest权限修改网站的CSP响应头，但这需要在manifest.json中添加对应的权限配置，且属于更复杂的操作，仅在必要时使用。

内容的提问来源于stack exchange，提问作者Felipe Obregón