如何在PhantomJS中禁用内容安全策略以解决WebSocket连接问题？

我完全懂你遇到的糟心问题——在PhantomJS 2.1.1的page.evaluate()里调用WebSocket时触发了CSP相关的SecurityError，明明已经开了webSecurityEnabled = false和localToRemoteUrlAccessEnabled = true却没用，而Firefox里关掉CSP就能正常跑。这是因为PhantomJS的webSecurityEnabled主要管跨域资源访问，和内容安全策略（CSP）是两套独立的控制逻辑，得单独针对CSP做配置才行。

下面给你几个可行的解决办法：

方法1：直接设置宽松的Content-Security-Policy规则 #

你可以通过修改page.settings.contentSecurityPolicy，给页面设置一个允许WebSocket连接的宽松CSP规则，直接覆盖页面本身的CSP限制：

var page = require('webpage').create();

// 先确保基础的跨域配置生效
page.webSecurityEnabled = false;
page.localToRemoteUrlAccessEnabled = true;

// 设置宽松的CSP规则，允许所有资源类型（包括WebSocket）
page.settings.contentSecurityPolicy = "default-src *; script-src * 'unsafe-inline' 'unsafe-eval'; connect-src *; img-src *; style-src * 'unsafe-inline'; font-src *";

// 之后执行你的WebSocket逻辑
page.evaluate(function() {
    // 你的WebSocket连接代码
    var ws = new WebSocket('ws://你的服务器地址');
    // ...后续业务逻辑
});

这里的connect-src *会明确允许所有WebSocket（以及HTTP/HTTPS）连接，刚好解决你的CSP拦截问题。

方法2：移除响应头中的CSP规则 #

如果页面的CSP是通过HTTP响应头返回的，你可以在资源加载时拦截并移除这些CSP相关的响应头：

var page = require('webpage').create();

page.webSecurityEnabled = false;
page.localToRemoteUrlAccessEnabled = true;

// 拦截资源响应，过滤掉所有CSP相关的响应头
page.onResourceReceived = function(response) {
    response.headers = response.headers.filter(function(header) {
        var headerName = header.name.toLowerCase();
        // 移除主CSP头和仅报告模式的CSP头
        return headerName !== 'content-security-policy' && headerName !== 'content-security-policy-report-only';
    });
};

// 打开目标页面后执行WebSocket逻辑
page.open('你的目标页面URL', function(status) {
    if (status === 'success') {
        page.evaluate(function() {
            // 你的WebSocket连接代码
        });
    }
});

这个方法会直接去掉页面返回的CSP限制，让你的WebSocket代码不受约束。

额外提示 #

PhantomJS 2.1.1是比较老旧的版本了，本身对现代Web标准的支持有限，包括CSP的处理可能存在一些小bug。如果上面的方法都没效果，你可以试试：

• 确保在页面完全加载后再执行page.evaluate()里的WebSocket代码（比如放在page.onLoadFinished回调中）
• 考虑迁移到更现代的无头浏览器工具，比如Puppeteer（基于Chrome），它对CSP的控制更灵活，而且维护更活跃。

内容的提问来源于stack exchange，提问作者bas