问卷星篡改猴脚本安装失败的常见原因有哪些？

Question

问卷星篡改猴（Tampermonkey）脚本安装失败的常见原因主要有五类：一是浏览器未正确安装或启用Tampermonkey扩展（尤其Edge/Chrome新版本需手动开启“允许访问文件网址”）；二是脚本源链接失效、被重定向或托管平台（如GitHub/Gitee）未开启Raw访问；三是问卷星页面启用了CSP（内容安全策略），拦截了动态注入的JS执行；四是用户脚本头部元数据（@match/@include）未精准匹配问卷星URL（如遗漏https、www子域或路径变动）；五是本地网络或安全软件（如360、火绒）误将脚本识别为风险行为而主动拦截。此外，部分企业版浏览器或教育网环境会禁用用户脚本API。排查建议：先在油猴面板确认脚本状态为“启用”，再按F12查看Console报错及Network中脚本加载是否200 OK。

Answer 1

```html

一、基础环境验证：Tampermonkey 扩展是否真正就绪

这是最表层但高频失效的环节。许多用户误以为“已安装即可用”，实则 Chrome/Edge 110+ 及新版 Chromium 内核浏览器默认禁用扩展对本地文件（file://）和非 HTTPS 网页的脚本注入权限。尤其在企业 IT 管控环境下，策略组（GPO）可能强制关闭 “允许访问文件网址” 开关。

• ✅ 检查路径：浏览器右上角 Tampermonkey 图标 → 设置 → “高级设置” → 勾选 “允许访问文件网址” 和 “启用用户脚本 API”
• ⚠️ Edge 特别注意：需进入 edge://extensions → 找到 Tampermonkey → 点击“详情” → 开启 “允许访问此文件 URL”（若灰显，说明被组织策略锁定）

二、脚本源链路诊断：从 Raw URL 到重定向陷阱

托管于 GitHub/Gitee 的脚本常因未使用原始内容地址（Raw URL）而加载失败。例如：https://github.com/user/repo/blob/main/script.user.js 是 HTML 页面，而非 JS 文件；正确应为 https://raw.githubusercontent.com/user/repo/main/script.user.js。Gitee 同样需确认仓库设置中已开启 “允许 Raw 文件访问”（默认关闭）。

平台	典型错误 URL	修正后 Raw URL 格式
GitHub	https://github.com/xxx/xxx/blob/master/qxs-auto.user.js	https://raw.githubusercontent.com/xxx/xxx/master/qxs-auto.user.js
Gitee	https://gitee.com/xxx/xxx/raw/master/qxs-auto.user.js	https://gitee.com/xxx/xxx/raw/master/qxs-auto.user.js（需手动开启仓库设置→“允许 Raw 访问”）

三、CSP 策略深度解析：问卷星为何主动“封杀”你的脚本

问卷星自 2023 年起全面启用严格 CSP 策略：script-src 'self' 'unsafe-eval'，明确禁止 eval()、new Function() 及内联脚本执行。Tampermonkey 默认以 <script> 标签注入方式运行，触发 CSP 拦截后，Console 将报错 Refused to execute inline script because it violates the following Content Security Policy。

解决方案需双轨并行：

1. 在脚本头部添加 // @run-at document-idle 或 @run-at document-start（避免依赖 DOM 加载时序）
2. 禁用动态 eval 行为：将所有 eval(…) 替换为 Function(…)（仍受限），或重构为纯函数式逻辑

四、URL 匹配元数据精调：@match/@include 的毫米级校准

问卷星 URL 存在多版本变体：https://www.wenjuanxing.com/、https://wenjuanxing.com/、https://www.wenjuanxing.net/（教育版）、以及答题页路径如 /j/xxxxx、/w/xxxxx、/fill/xxxxx。任意遗漏均导致匹配失败。

// ✅ 推荐写法（覆盖全场景）
// @match *://*.wenjuanxing.com/*
// @match *://*.wenjuanxing.net/*
// @match *://wenjuanxing.com/*
// @match *://wenjuanxing.net/*
// @exclude /api/*
// @exclude /login*

五、终端防护与网络策略：安全软件与企业环境的隐性拦截

火绒 6.0+、360 安全卫士 13.1+、腾讯电脑管家等产品内置“网页脚本行为分析引擎”，将 Tampermonkey 注入的 DOM 操作识别为“自动化攻击特征”。企业网常见限制包括：

• 代理服务器过滤 X-UserScript-Injected: true 请求头
• AD 域策略禁用 chrome-extension://*/ 跨域通信
• 教育网出口防火墙屏蔽 GitHub Raw 域名（raw.githubusercontent.com）

六、系统化排查流程图（Mermaid）

graph TD
  A[安装失败] --> B{油猴面板中脚本状态？}
  B -->|未启用| C[启用脚本并检查“运行于”设置]
  B -->|已启用| D[按F12打开DevTools]
  D --> E[Console标签：查看JS报错]
  D --> F[Network标签：筛选JS，检查状态码]
  E -->|CSP Error| G[调整@run-at + 重构eval]
  F -->|404/302| H[验证Raw URL有效性及重定向链]
  E & F -->|无报错但不执行| I[检查URL @match是否覆盖当前页面]
  I -->|否| J[扩展URL匹配规则]
  I -->|是| K[检查安全软件日志/企业策略]

七、进阶验证手段：面向5年+工程师的诊断工具链

资深开发者应构建可复用的验证套件：

• 使用 curl -I https://raw.githubusercontent.com/xxx/xxx/main/qxs.user.js 验证 HTTP 头部返回 200 OK 且 Content-Type: text/javascript
• 在 Console 中执行 window.location.href 与 document.currentScript?.src 对比，确认实际注入来源
• 通过 chrome.management.get('clemmof...')（Tampermonkey 扩展ID）验证其是否被策略禁用

```