关于.NET SignalR(v2.4.0)启动时触发Content-Security-Policy(CSP)错误的解决方案咨询

我之前也碰到过这个头疼的问题，SignalR v2.x确实会在启动时自动生成内联代理脚本，刚好撞上了CSP的限制。不用unsafe-inline完全能解决，给你两个靠谱的方案：

方案一：禁用自动生成代理，手动创建Hub代理 #

这是最稳妥的长期方案，彻底避免内联脚本的生成：

1. 在引入SignalR核心脚本后，先禁用自动代理生成：

// 放在引用signalr.js之后，初始化hub之前
$.connection.hub.generatedProxy = false;

2. 手动定义你的Hub代理和客户端方法。假设你的后端Hub类名为ChatHub，示例代码如下：

// 手动创建Hub代理实例
var chatHub = $.connection.chatHub;

// 定义客户端接收方法（和后端Hub里调用的客户端方法对应）
chatHub.client.receiveMessage = function(user, content) {
    // 这里写你的消息处理逻辑，比如更新页面
    console.log(`${user}: ${content}`);
};

// 启动连接
$.connection.hub.start()
    .done(function() {
        console.log("SignalR连接成功");
        // 连接成功后可以调用服务器端方法，比如：
        // chatHub.server.send("我是客户端", "测试消息");
    })
    .fail(function(err) {
        console.error("连接失败:", err);
    });

这样SignalR就不会生成任何内联脚本，完全符合CSP的要求。

方案二：通过哈希值允许特定内联脚本 #

如果你不想手动写代理，也可以用CSP的哈希机制来放行SignalR生成的那一段内联脚本：

1. 打开浏览器控制台，找到CSP错误提示，里面会包含被拦截的内联脚本的哈希值（格式类似sha256-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx）。
2. 把这个哈希值添加到你的CSP script-src指令中，比如：

Content-Security-Policy: script-src 'self' 'sha256-xxxxxx';

注意：这个哈希值和SignalR生成的脚本内容强绑定，如果后续SignalR版本更新、或者你的Hub定义有变化，哈希值可能会改变，需要重新获取更新。

为什么会出现这个问题？ #

SignalR v2.x默认会在页面加载时自动生成Hub的JavaScript代理代码，这段代码是以内联脚本的形式插入到页面中的。而你的CSP策略禁止了unsafe-inline，所以浏览器会拦截这段脚本，触发错误。

内容的提问来源于stack exchange，提问作者Tutcugil