Tampermonkey脚本在使用WebSockets的Mattermost网页应用中无法触发

日常高频使用GM/TM用户脚本，在绝大多数站点均可稳定运行，但在类Slack企业聊天工具Mattermost站点上遇到脚本无法执行的问题。该站点页面加载流程为：先建立websocket连接，再拉取聊天面板内容完成动态渲染。
编写仅向控制台打印日志的最简测试脚本，脚本匹配规则覆盖整个目标域名，Tampermonkey管理面板显示该脚本为激活状态，但页面加载后控制台既无对应日志输出，也无相关报错。测试脚本代码如下：

// ==UserScript==
// @name         mattermost
// @namespace    http://tampermonkey.net/
// @version      0.1
// @description  try to take over the world!
// @author       You
// @match        https://*.cloud.mattermost.com/*
// @grant  none
// ==/UserScript==

console.log("test")

已尝试排查方案 #

• 配置多种@run-at运行时机参数
• 使用适配动态内容加载站点的waitForKeyElements方法
• 在脚本逻辑执行前增加超时等待
• 通过多种方式绑定window.onload与unsafewindow.onload事件
  经测试，页面完全加载完成后直接在浏览器控制台输入命令可正常执行，也可自由操作DOM。

核心疑问 #

使用websockets的网页应用是否存在特殊机制，会导致Tampermonkey脚本无法正常触发？

WebSocket本身没有任何机制会阻止Tampermonkey脚本触发，你遇到的问题和WebSocket技术完全无关，本质是脚本从最开始就没有被成功注入执行，之前尝试的所有等待DOM、绑定加载事件、调整运行时机的方案，都是建立在脚本已经注入运行的基础上，自然全部失效。
最常见的原因是Mattermost默认配置了非常严格的内容安全策略（CSP）拦截扩展注入的内联脚本，这种拦截是静默的，不会在控制台抛出任何报错，刚好符合你遇到的现象。
可以按以下步骤修复：

1. 打开Tampermonkey设置页，将配置模式切换为「高级」，找到「内容安全策略」设置项，开启注入脚本时绕过页面CSP的相关选项
2. 在测试脚本的元数据头中添加// @inject-into content配置，强制将脚本注入到扩展独立的沙箱上下文运行，不要注入到页面主上下文，避免被页面CSP规则拦截
3. 如果调整后仍不生效，检查脚本的@match规则是否同时覆盖http、https协议，部分Mattermost实例会通过Service Worker做页面预加载跳转，协议不匹配时会出现Tampermonkey面板显示脚本激活、但实际未注入的情况。

内容的提问来源于stack exchange，提问作者kdf58