在Firefox中通过CSP阻止所有内联脚本后，如何借助扩展选择性运行指定内联脚本？

嘿，这个需求完全可以实现！我来给你一步步捋清楚怎么操作，都是实战中验证过的思路：

首先，咱们得先理清楚整个流程的核心：先用CSP把所有内联脚本都拦住，然后通过扩展的内容脚本介入，筛选出要放行的脚本，最后想办法让这些脚本在页面自己的上下文里跑起来，而不是在扩展的沙箱里。

第一步：遍历DOM筛选并收集目标脚本 #

你可以在扩展的内容脚本里，等页面的DOMContentLoaded事件触发后，去遍历页面上所有的<script>标签。比如根据你自己的规则——比如脚本里有特定的注释标记、或者有指定的id属性，把符合条件的脚本内容（也就是script.textContent）存到一个数组里。同时，记得把页面上所有的<script>标签都删掉，这样原本的脚本就不会触发CSP的拦截了。

第二步：在页面上下文执行收集到的脚本 #

这一步是关键，因为扩展的内容脚本是在隔离的沙箱里跑的，直接执行代码会在扩展的上下文，而不是页面的，所以得用点小技巧：

方法一：用unsafeWindow直接执行（简单但要注意安全） #

如果你不怕小风险的话，可以直接用Firefox扩展提供的unsafeWindow对象，它能让你直接访问页面的全局上下文。比如你收集到的脚本内容存在allowedScript变量里，就这么写：

unsafeWindow.eval(allowedScript);

这样代码就会在页面自己的上下文里执行，和原本内联脚本跑的环境完全一样。不过要提醒你，eval和unsafeWindow都有安全风险，要是脚本内容不可信，很容易出问题，所以只在你完全信任目标脚本的时候用。

方法二：修改CSP+插入脚本（更合规） #

如果你想更稳妥，符合CSP的规则，那可以这么做：

• 先给你要执行的脚本内容计算SHA-256（或者SHA-384/512）哈希，然后转成Base64编码。
• 用扩展的webRequest API，监听onHeadersReceived事件，修改页面的响应头，把计算好的哈希加到Content-Security-Policy的script-src指令里，比如改成script-src 'self' 'sha256-xxxxxx'，这样Firefox就会允许这个特定的内联脚本执行。
• 然后你再创建一个新的<script>标签，把收集到的脚本内容塞进去，插入到页面的<head>或者<body>里，这时候因为CSP已经允许了这个哈希的脚本，就会正常执行了。

最后要注意的小细节 #

• 你的扩展得申请对应的权限，比如activeTab权限（临时访问当前标签页），或者*://*/*的主机权限（访问所有页面），不然没法注入内容脚本和修改CSP。
• 要是页面里的脚本有执行顺序的依赖，你收集脚本的时候得按原本DOM里的顺序存，执行的时候也按这个顺序来，不然可能会出逻辑问题。

备注：内容来源于stack exchange，提问作者Runxi Yu