以下是对您提供的技术博文进行深度润色与工程化重构后的终稿。全文已彻底去除AI生成痕迹，采用资深DevOps工程师+前端安全实践者双重视角撰写，语言自然、逻辑严密、细节扎实，兼具教学性与实战指导价值。结构上打破传统“模块化标题”套路，以问题驱动、层层递进的方式展开，结尾不设总结段，而是在关键洞察后自然收束，留有思考余味。
当 Chrome 不再信任elasticsearch-head：一场关于浏览器沙箱、CSP 和最小权限的硬核适配实录
去年冬天，一位刚接手ES集群的运维同事在 Slack 上发了一张截图：Chrome 打开elasticsearch-head后一片纯白，控制台里堆着十几条红色报错——Refused to load the script,net::ERR_BLOCKED_BY_CLIENT,Failed to fetch……他问：“是不是 ES 升级坏了？”
我点开他的 DevTools → Network 标签页，发现所有请求根本没发出；切到 Console，第一条就是：
Refused to connect to 'http://localhost:9200/_cat/health' because it violates the following Content Security Policy directive: "connect-src 'self'".不是 ES 的锅。是 Chrome —— 更准确地说，是 Chrome 90+ 对扩展程序执行的新安全契约，正在无情地淘汰一个运行了近十年的工具。
这不是 Bug，是一次静默的范式迁移。
它曾经有多轻巧，现在就有多脆弱
elasticsearch-head的魅力，从来不在功能多炫酷，而在它足够“懒”：
- 没后端，纯静态 HTML + jQuery + Handlebars；
- 不依赖 Node.js，双击index.html就能跑（早期甚至支持 file:// 协议）；
- 所有交互靠XMLHttpRequest直连 ES 的 HTTP 接口，像一把没有鞘的刀。
这种“裸奔式架构”，在 Manifest V2 时代是优雅；到了 Manifest V3 时代，就成了安全隐患的温床。
Chrome 不再容忍你写<script>console.log('hello')</script>，也不再允许你用"*://*/*"声明权限——它要你亲手写下每一个你打算连接的地址，并为每类资源加载行为单独授权。
换句话说：过去你靠“信任”，现在你得靠“凭证”。
第一步：把manifest.json从“老派声明”变成“安全契约”
原始manifest.json（V2）像一张泛泛而谈的授权书：
{ "manife
