米侠浏览器运行脚本时报错Refused to evaluate怎么办

米侠浏览器“Refused to evaluate”错误源于CSP策略禁止unsafe-eval，需将eval、new Function、字符串型setTimeout等替换为JSON.parse、预定义函数、函数引用等安全写法，并通过开发者工具Console确认报错信息、编辑脚本定位并逐项修复。

米侠浏览器运行用户脚本时弹出“Refused to evaluate”错误，说明当前页面启用了CSP（内容安全策略）且明确禁止eval()、Function构造器、内联脚本等动态代码执行行为，而你的脚本中存在unsafe-eval相关调用，必须改写为静态函数或预编译逻辑才能绕过拦截。

确认错误是否来自CSP限制

点击地址栏右侧“开发者工具”图标（或按F12）→ 切换到Console面板 → 查看红字报错完整信息；若含“Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy”字样，即可断定是CSP拦截，不是语法错误或网络问题。

这一步跳过会误判为脚本本身有bug——CSP报错不指向具体行号，只提示策略拒绝，强行修改代码结构却保留eval仍会失败。

定位脚本中触发unsafe-eval的代码

进入米侠浏览器→右上角三点→设置→高级设置→脚本注入→点击问题脚本右侧【编辑】→ 全选复制代码到纯文本编辑器（如Notepad++）。

搜索以下关键词，逐个检查上下文：【eval(】、【new Function(】、【setTimeout(字符串)】、【setInterval(字符串)】、【document.write(字符串)】——这些调用在启用CSP的现代网页（如知乎、Bilibili、微信公众号页）中会被直接拦截。

特别注意：某些油猴脚本模板自带的“自动更新检查”模块常使用eval加载远程JSONP，这是高频雷区。

替换unsafe-eval为安全等效写法

方法一：eval → JSON.parse（仅适用于纯数据字符串）
原代码：eval('(' + jsonStr + ')')
改为：JSON.parse(jsonStr)——更安全、更快，且不触发CSP。

方法二：new Function → 提前声明函数（适用于需动态生成逻辑的场景）
原代码：const fn = new Function('a', 'b', 'return a + b');
改为：const fn = (a, b) => a + b; 或 function fn(a, b) { return a + b; }——所有参数和逻辑必须写死，不能拼接字符串。

方法三：setTimeout/setInterval传字符串 → 改为传函数引用
原代码：setTimeout("doSomething()", 1000)
改为：setTimeout(doSomething, 1000)——确保doSomething是已定义函数名，不可加括号，不可带参数；需传参请用闭包：setTimeout(() => doSomething(arg), 1000)。

【绝对不要用字符串拼接+eval绕过CSP】——这类操作在X5内核v5.8.2+中已被深度拦截，即使改了也无效，还会增加被标记为恶意脚本的风险。

验证修复效果

第一步：保存修改后的脚本文件 → 返回米侠浏览器 → 点击右下角菜单→「刷新脚本列表」（非刷新网页）；
第二步：打开目标网页（如触发报错的知乎文章页）→ 按F12 → Console中确认无“Refused to evaluate”红字；
第三步：手动触发脚本功能（如点击自定义按钮），观察是否正常执行。

若仍有报错，说明还有隐藏的字符串执行未被发现——此时需逐行注释掉可疑段落，从顶部开始每删5行就测试一次，直到错误消失，再聚焦最后被注释的那段代码。