浏览器扩展能看到什么：一个被低估的风险面
一次点击，长期权限
访问 凯发地址平台 相关站点时，多数人关注的是网址对不对、有没有小锁。
但还有一个环节很少被检查：浏览器里装了什么扩展。
扩展的权限往往比人们以为的大得多。 常见的权限描述是"读取和更改您在所访问网站上的所有数据" ——这句话的实际含义值得展开。
它意味着这个扩展可以：
读取页面上的全部内容，包括你填进表单的东西。
修改页面显示的内容。
读取和写入 Cookie ——这包括保持登录状态的那个会话凭证。
看到你访问的每一个网址。
在页面里注入自己的脚本。
为什么这比想象中严重
几条推论。
HTTPS 保护不了你。
加密保护的是传输过程。 扩展运行在浏览器内部，看到的是解密后的页面 ——加密对它不起作用。
二次验证也保护不了会话。
拿到会话凭证等于拿到登录状态，不需要密码，也不会再触发二次验证。
页面可以被悄悄改掉。
扩展能修改页面内容 ——理论上可以改掉页面上显示的收款账号、金额、或者在页面里插入一个假的登录框。
你不会有任何异常感受，因为地址栏、证书、域名全都是真的。
这是它和钓鱼站最大的区别：钓鱼站要骗你去别处，恶意扩展在正确的页面上动手。
扩展怎么变坏的
多数人装扩展时它是好的，问题出在后面。
所有权转让。
这是最常见的路径。 一个有几十万用户的扩展被卖掉，新的所有者更新一次，行为就变了。
用户不会收到任何提示——扩展是自动更新的。
开发者账号被盗。
攻击者推送一次恶意更新，影响所有用户。
一开始就是恶意的。
伪装成实用工具（优惠券、下载助手、翻译、去广告），在积累一定用户后启用恶意功能。
过度收集。
不一定是"恶意"，但会把你的浏览记录打包卖给数据公司。 这类在扩展生态里相当普遍。
共同点：你装的时候没问题，不代表现在没问题。
哪些扩展风险更高
按类别说。
"优惠券自动查找""返利助手"。
它们的商业模式就是追踪你的购物行为，权限要求通常很宽。
"下载助手""视频嗅探"。
需要读取页面全部内容。
"网页翻译"（第三方的）。
要把页面文本发到外部服务器。
"广告拦截"（小众的）。
知名的几款相对可信，但这个类别是仿冒重灾区 ——同名或近似名的克隆版本很多。
"主题美化""鼠标手势"这类小工具。
功能简单却索要全站权限的，尤其可疑。
任何要求"读取和更改所有网站数据"却没有明显理由的。
判断原则：功能和权限要匹配。 一个改鼠标指针样式的扩展，没有理由需要读取你所有页面的内容。
怎么检查和清理
几分钟能做完。
一、打开扩展管理页面。
Chrome 系： 地址栏输入 chrome://extensions。
Firefox： about:addons。
Edge： edge://extensions。
二、逐个看，问三个问题：
这个我还在用吗？ 不用的直接删。
它要的权限和功能匹配吗？ 点"详细信息"能看到具体权限。
我记得是从哪装的吗？ 想不起来的，删。
三、把权限收紧。
多数浏览器支持把扩展的站点访问权限改成"点击时"或"仅在特定网站上"。
这一条很实用：把所有扩展默认改成"点击时"，需要用才点。
四、涉及资金的操作用独立的浏览器配置文件。
新建一个配置文件，不装任何扩展，只用它做资金相关的操作。
这个做法成本很低，效果很直接。
五、手机浏览器同理。
部分手机浏览器支持扩展，同样要检查。
顺带说几个相关的风险面
同一类问题的其他表现形式：
输入法。
第三方输入法能看到你输入的每一个字符，包括密码。涉及资金的输入尽量用系统自带输入法，或关闭输入法的云同步功能。
剪贴板。
复制过的内容会停留在剪贴板里，部分应用可以读取。复制过密码或账号之后，随便复制点别的把它顶掉。
书签栏里的"小书签"（javascript: 开头的）。
点一下就在当前页面执行脚本。 来源不明的一律删掉。
开发者工具里的粘贴。
如果有人让你在浏览器控制台里粘贴一段代码说能"解锁功能"或"加速"，那是在让你亲手执行攻击代码。 主流浏览器现在会在控制台里警告这一点，警告是真的。**
远程协助软件。
让你装"远程协助"的，等于让你交出设备控制权。
移动端的对应问题
手机上没有浏览器扩展，但有等价物。
输入法。 第三方输入法能看到你输入的每一个字符，包括密码。 涉及资金的输入尽量用系统自带输入法，并关闭输入法的云同步功能。
无障碍服务权限。 原本为视障用户设计，但它能读取屏幕内容、模拟点击。 恶意应用拿到它等于拿到设备控制权。任何非无障碍类应用索要这个权限，都应该拒绝并卸载。
悬浮窗权限。 可以在其他应用之上画界面，理论上能盖住真实的输入框。
设备管理员权限。 能远程锁屏、清除数据、阻止卸载。
判断原则和扩展一样：功能和权限要匹配。 一个工具类应用没有理由需要读取屏幕内容。
一个五分钟的清理
照着做一遍：
一、打开扩展管理页，把不用的全删掉。 想不起来从哪装的，删。
二、剩下的逐个看权限，功能和权限不匹配的，删。
三、把保留的扩展站点访问权限改成"点击时"。
四、新建一个不装任何扩展的浏览器配置文件，以后资金操作只用它。
五、手机上过一遍应用权限，重点看无障碍、悬浮窗、设备管理员、短信读取。
六、顺手看一眼各平台的登录设备列表 ——如果之前装过可疑扩展，这一步能发现有没有陌生会话。发现了就先远程下线，再改密码，顺序不能反。
常见问题 FAQ
问：浏览器扩展能看到什么？
常见权限是"读取和更改您在所访问网站上的所有数据"——包括页面内容、你填的表单、Cookie（含登录会话凭证）、访问的每个网址。
问：HTTPS 能防住恶意扩展吗？
不能。加密保护传输过程，而扩展运行在浏览器内部，看到的是解密后的页面。
问：我装的时候是好的，现在还安全吗？
不一定。扩展可能被转让给新所有者、开发者账号被盗，或在积累用户后启用恶意功能。而扩展是自动更新的，不会提示你。
问：怎么快速降低风险？
删掉不用的扩展、把站点访问权限改成"点击时"、涉及资金的操作用一个不装扩展的独立浏览器配置文件。
问：凯发手机app官网 相关操作要注意什么？
除了确认域名，还要看浏览器里装了什么。恶意扩展是在正确的页面上动手，域名和证书全是真的。
理性对待，量力而行。扩展的权限比多数人以为的大，花五分钟清一遍，比反复检查网址更有效。