CSP 的 script-src 用 hash 为什么还是报错？

我在页面里加了个简单的点击事件，然后根据 Chrome 控制台提示生成了 sha256 hash，但加上 CSP 后还是被拦截，完全搞不懂哪里错了。

我试过用在线工具和 openssl 手动生成 hash，结果都一样，但浏览器就是不认。是不是 hash 的内容要包含某些特定格式？

document.getElementById('btn').addEventListener('click', () => {
  alert('hello');
});