如何定位引发Chrome控制台CSP内联脚本错误的扩展？

先确认错误来源是否为扩展 #

打开Chrome无痕模式（Ctrl+Shift+N）访问任意网站，如果控制台不再出现这个错误，就可以确定是某个扩展导致的。

定位具体扩展的步骤 #

• 逐个排查扩展：

  1. 打开Chrome扩展管理页面（输入chrome://extensions/回车），开启右上角的“开发者模式”。
  2. 点击“禁用所有扩展”，刷新之前报错的网站，确认错误消失。
  3. 逐个重新启用扩展，每启用一个就刷新网站，直到错误再次出现，这个刚启用的扩展就是问题所在。

• 通过开发者工具追踪发起者：

  1. 在控制台找到那条错误，右键点击错误条目，选择“在网络面板中显示”。
  2. 在网络面板里找到utils.js的请求，查看Initiator列，如果是扩展发起的，这里会显示扩展的ID或名称。
  3. 切换到Sources面板，找到utils.js文件，查看它的文件路径——扩展脚本的路径通常是chrome-extension://<扩展ID>/开头，复制这个ID到扩展管理页面的搜索框，就能找到对应的扩展。

• 检查扩展的注入脚本：
  有些扩展会向页面注入内联脚本，而目标网站的CSP规则不允许这种操作。你可以查看扩展的权限（扩展管理页面里每个扩展的“详情”），重点看是否有“在所有网站上读取和更改所有数据”这类涉及脚本注入的权限；也可以直接查看扩展的源码（若允许），核对错误提示里的脚本哈希值sha256-lr7yBeMxuhPGBcG1D4v/KX2hae9FXooEYNrKFrADj2E=，找到匹配的内联脚本。

关于utils.js的说明 #

这类命名为utils.js的通用工具脚本很多扩展都会使用，注释内容也比较宽泛，所以谷歌搜不到线索是正常的，重点还是通过文件路径和发起者来定位对应的扩展。

内容的提问来源于stack exchange，提问作者Tom Regan