Chrome CORB拦截书签注入外部JavaScript问题及绕过方案咨询

• 优先调整目标资源托管服务的响应头，将JS资源的Content-Type设置为标准的application/javascript或text/javascript。这是最根本的解决方法，无需修改现有bookmarklet逻辑即可直接生效，也是CORB拦截场景下的官方推荐修复方式。
• 若无法修改服务端响应头，且资源托管服务已配置CORS规则允许跨域请求，可以替换原有script标签加载逻辑，改为拉取资源内容后直接执行，避开CORB对script标签资源类型的校验：

javascript:(async ()=>{
  const res = await fetch("替换为你的目标JS资源地址");
  const code = await res.text();
  eval(code);
})()

注意：eval执行外部代码存在明显安全风险，请确保你完全信任拉取的代码来源，避免引入恶意代码。

• 若目标JS资源体积较小（通常压缩后低于2000字符即可兼容全浏览器），可以直接将代码压缩后整体内嵌到bookmarklet中，完全规避外部资源请求，自然不会触发CORB、CORS等各类跨源限制。
• 若你使用的是公共代码托管平台的原始资源链接，这类平台默认会给原始代码返回text/plain类型的响应头且不支持自定义，你可以将代码迁移至支持自定义静态资源响应头的托管服务即可解决问题。

内容的提问来源于stack exchange，提问作者Larnyx