浏览器扩展程序的安全风险

本文约需 9 分钟阅读

浏览器扩展程序提供广告拦截和密码管理等便捷功能，但同时也存在严重的安全风险。扩展程序被授予的权限非常强大，能够读取您正在浏览的网页内容、拦截输入数据，甚至篡改通信。这意味着它们可能具有与间谍软件同等的能力。根据 Kaspersky 2024 年的调查，Chrome 网上应用店中约 33% 的扩展程序要求"读取所有网站数据"的权限，其中一些已被发现存在恶意行为。截至 2025 年，虽然向 Manifest V3 的过渡正在推进，但恶意扩展程序的手段也日益复杂，通过收购合法扩展程序并注入恶意代码的"扩展程序供应链攻击"正在增加。本文将帮助您正确理解浏览器扩展程序的风险，并介绍如何利用 Passtsuku.com 安全运营。

到底该怎么做

浏览器扩展程序的风险管理铁则是"必要最小限度"。初学者请检查已安装的扩展程序，删除所有未使用的。仅将剩余扩展程序的权限限制为"仅在点击时"，就能大幅降低风险。中级用户请将扩展程序控制在 10 个以下，金融服务的密码不要保存在浏览器中，而是使用密码管理器管理。使用 Passtsuku.com 为每个服务生成唯一的密码，构建针对扩展程序泄露的多层防御。

浏览器扩展程序权限的危险性

网页读取权限

许多扩展程序要求"读取所有网站数据"的权限。一旦授予该权限，扩展程序就可以自由读取您浏览的所有页面内容、在表单中输入的密码、信用卡号和个人信息等。从技术上讲，扩展程序通过 content script 直接访问 DOM，可以使用 document.querySelectorAll('input[type="password"]') 等代码获取密码字段的值。这种过度的权限请求与 OAuth 授权时的权限风险存在类似的结构性问题。即使是正规的扩展程序，也发生过开发者账户被入侵并注入恶意代码的事例。

网络通信拦截

使用 webRequest API 的扩展程序具有拦截和修改浏览器网络通信的能力。即使是 HTTPS 加密的通信，在浏览器内部也以解密状态传递给扩展程序，因此可以读取传输的数据。滥用此权限可以窃取登录信息和会话令牌。请注意，Chrome 的 Manifest V3 限制了 webRequest API 的拦截功能，并推进向 declarativeNetRequest API 的迁移，但 Firefox 仍然支持 Manifest V2，浏览器之间的权限模型存在差异。

要系统地学习浏览器扩展程序的权限模型和攻击手法，浏览器扩展程序安全指南 (Amazon)可供参考。

与扩展程序相关的实际威胁案例

正规扩展程序被劫持

曾发生过热门扩展程序的开发者账户遭钓鱼攻击入侵，恶意更新被分发的事例。2024 年 12 月，Cyberhaven 公司的 Chrome 扩展程序因开发者账户被入侵而被替换为恶意版本，影响了约 40 万用户。由于自动更新会统一分发，用户以为自己在使用正规的扩展程序，实际上已在不知不觉中感染了恶意软件。常见的误解是认为"官方商店的扩展程序是安全的"，但商店的审核并不完善，混淆的代码或延迟执行的恶意载荷可以绕过检测。

虚假扩展程序窃取信息

Chrome 网上应用店和 Firefox Add-ons 中有时会出现使用与热门扩展程序相似名称和图标的虚假扩展程序。这些虚假扩展程序作为一种网络钓鱼手段，在安装后会将密码和浏览历史发送到外部服务器。2023 年的调查报告显示，每年从 Chrome 网上应用店删除的恶意扩展程序超过 1,500 个，累计下载量超过 7,500 万次。安装前请仔细确认开发者的可信度、评论数量和更新频率。

如何安全地选择和管理扩展程序

安装前的确认事项

在安装扩展程序之前，请确认以下几点：开发者是否是可信赖的企业或个人、源代码是否公开（开源的情况下）、要求的权限对于功能是否合理、评论数和评分是否充足、最后更新日期是否过旧。特别是要求"读取所有网站数据"权限的扩展程序，请慎重判断是否真的需要该权限。Chrome 提供了将扩展程序权限限制为"仅在点击时"的选项，与始终允许访问相比可以大幅降低风险。安全安装应用的方法中的原则同样适用于浏览器扩展程序的安装。

定期清理扩展程序

请定期检查已安装的扩展程序，删除未使用的。扩展程序越多，攻击面就越大。安全研究人员建议将安装的扩展程序控制在 10 个以下。在 Chrome 中可以通过 `chrome://extensions`，在 Firefox 中可以通过 `about:addons` 查看已安装的扩展程序列表。请重新确认每个扩展程序的权限，限制不必要的权限。作为边缘情况，长期未更新的扩展程序（超过 1 年未更新）可能意味着开发者已放弃维护，漏洞被放置的风险增加。

使用 Passtsuku.com 提高密码安全性

将密码保存在浏览器中时，存在被恶意扩展程序窃取的风险。重要的是使用密码管理器管理通过 Passtsuku.com 生成的强密码，不要过度依赖浏览器的自动填充功能。特别是金融服务和重要账户的密码，建议不要保存在浏览器中，而是从密码管理器手动复制粘贴。由于密码管理器本身也作为浏览器扩展程序运行，因此选择高可靠性的产品并仅从官方网站安装是不可或缺的。

关于扩展程序权限管理和隐私保护的实践方法，浏览器隐私与扩展程序权限管理指南 (Amazon)也可供参考。

最小化扩展程序风险的总结

浏览器扩展程序虽然方便，但由于其权限的强大，可能成为重大的安全风险。将安装的扩展程序保持在必要最小限度，仔细确认权限要求。与键盘记录器防护一样，使用 Passtsuku.com 为每个服务生成唯一的强密码，构建针对扩展程序泄露的多层防御。将定期清理和权限审查养成习惯，是最小化扩展程序风险最可靠的方法。

扩展程序安全检查清单

• 已安装的扩展程序是否控制在 10 个以下？
• 每个扩展程序的权限对于其功能是否合理？
• 是否有超过 1 年未更新的扩展程序？
• 是否已将"读取所有网站数据"权限限制为"仅在点击时"？
• 是否确认了开发者是可信赖的企业或个人？
• 是否认识到恶意软件窃取浏览器中保存的密码的风险？

现在就能做的事

1. 打开浏览器的扩展程序列表（Chrome: chrome://extensions），删除所有未使用的扩展程序
2. 将剩余扩展程序的权限限制为"仅在点击时"（Chrome: 扩展程序详情 → 网站访问权限）
3. 使用 Passtsuku.com 将金融服务的密码更新为 16 个字符以上，保存在密码管理器中而非浏览器中
4. 检查是否有超过 1 年未更新的扩展程序，删除符合条件的

常见问题

浏览器扩展程序有哪些安全风险？

扩展程序可能拥有读取浏览中所有页面内容的权限，存在密码和信用卡信息被盗的风险。也有正规扩展通过更新变成恶意软件，或开发者账户被劫持分发恶意代码的案例。

选择安全浏览器扩展程序的要点是什么？

仅从官方商店安装，选择下载量和评价数多的扩展。确认请求的权限对于功能来说不过分，开发者是否为可信赖的公司或个人也是重要的判断标准。避免最后更新日期过旧的扩展。

如何安全管理已安装的扩展程序？

定期检查扩展程序列表，删除不使用的。保持自动更新开启，但养成更新后检查权限变更的习惯。进行网上银行等重要操作时，使用禁用扩展的配置文件或隐身模式也很有效。