针对你遇到的嵌套跨站iframe下CSP阻止内联脚本的问题，结合你的场景，我给你几个实用的解决方案思路：

1. 彻底规避内联脚本：改用外部扩展资源脚本 #

既然CSP的核心限制是内联脚本，那最直接的办法就是把你要注入的脚本内容放到扩展内的独立JS文件中，然后通过创建<script>标签引入这个外部资源，而不是直接插入内联代码：

const script = document.createElement('script');
// 指向扩展内的脚本文件，需要在manifest中配置web_accessible_resources
script.src = chrome.runtime.getURL('your-injection-script.js');
contentWindow.document.documentElement.appendChild(script);

关键配置：在manifest.json中添加web_accessible_resources，允许目标iframe访问这个脚本：

"web_accessible_resources": [
  {
    "resources": ["your-injection-script.js"],
    "matches": ["<all_urls>"] // 或者更精准的匹配规则
  }
]

这种方式完全避开了内联脚本的限制，绝大多数CSP策略不会拦截扩展合法资源的加载。

2. 精细化调整CSP策略（而非直接移除） #

你之前用declarative_net_request移除CSP头的方式不够精准，很多网站会通过meta标签设置CSP（HTTP头移除对这种情况无效），或者跨站iframe自身有独立的CSP。可以尝试修改CSP而非移除：

• 在declarative_net_request规则中，添加'unsafe-inline'或者你内联脚本的哈希值到script-src指令中：

{
  "id": 1,
  "priority": 1,
  "action": {
    "type": "modifyHeaders",
    "responseHeaders": [
      {
        "header": "content-security-policy",
        "operation": "replace",
        "value": "default-src 'self' data: xxx; script-src 'self' 'unsafe-inline' 'sha256-w1az5K3Z41o4c3Hf8RBDo+1BZ0qgFj0ocsLXRstFf5U=';"
      }
    ]
  },
  "condition": {
    "urlFilter": "*",
    "resourceTypes": ["sub_frame"] // 针对iframe资源生效
  }
}

• 注意要覆盖跨站iframe的域名，因为嵌套跨站iframe的CSP是由自身页面决定的，和父页面无关。

3. 优化Content Script的注入配置 #

回到最初的问题根源，你之前用修补contentWindow的方式是为了解决脚本加载时机问题，或许可以通过调整Content Script的配置来避免这种hack：

• 在manifest.json的content_scripts中，确保设置：

"content_scripts": [
  {
    "matches": ["<all_urls>"],
    "js": ["your-content-script.js"],
    "run_at": "document_start", // 尽可能早注入
    "all_frames": true, // 所有iframe都注入
    "match_origin_as_fallback": true, // 兼容跨站iframe
    "world": "MAIN" // 如果需要访问页面上下文
  }
]

这种原生的注入方式更稳定，且不受内联脚本的CSP限制，因为Chrome会自动处理Content Script的注入逻辑，绕过常规CSP。

4. 跨站iframe的跨上下文通信方案 #

当嵌套的是跨站iframe时，父iframe的脚本无法直接操作子iframe的DOM（同源策略限制），这时候可以用postMessage通信：

• 在父iframe的Content Script中监听iframe创建事件，向子iframe发送消息；
• 在子iframe的Content Script中监听message事件，收到消息后自行加载需要的脚本。
  这种方式完全由子iframe自身完成脚本加载，避免了跨域DOM操作的限制，同时也符合CSP要求。

备注：内容来源于stack exchange，提问作者Andreas Toresäter