你有没有过这样的经历？装了个浏览器插件，说是能帮你自动填表、翻译网页，结果没几天电脑就开始卡顿，甚至收到银行发来的异常登录提醒。问题很可能就出在插件市场的权限设置上。
一个“小工具”能有多大权限？
很多人觉得插件就是个辅助工具，无非是换个皮肤、加个按钮。但实际上，很多插件申请的权限远超其功能所需。比如一个简单的天气插件，却要求“读取你访问的所有网页内容”“修改页面数据”“在你打开的每个网站运行脚本”，这合理吗？
这些权限一旦被滥用，你的浏览记录、账号密码、甚至支付信息都可能被悄悄收集。更可怕的是，有些恶意插件会伪装成热门工具上架官方市场，用户一点安装，后门就打开了。
权限不是默认同意的游戏
主流浏览器如Chrome、Firefox都会在安装插件时弹出权限提示。但大多数人习惯性点“添加扩展程序”，根本没细看它要什么。这就相当于陌生人敲门说来修水管，你连证件都没查就让他进了厨房。
以Chrome为例，当你点击“添加扩展程序”前，下方会列出该插件需要的具体权限。常见的有：
- 读取和更改你在所有网站上的数据
- 获取你的浏览历史
- 拍摄屏幕截图
- 访问你的标签页列表
如果一个只做文字高亮的插件也要这些权限，那就要打个问号了。
动手检查：你的插件在“偷看”吗？
定期清理和审查已安装的插件很有必要。在Chrome地址栏输入：
chrome://extensions/逐个点开查看详情，把那些长期不用、权限过高或来源不明的直接删除。有时候你会发现某个购物比价插件还挂着，其实你已经半年没用过了，但它一直在后台监听你的每一次点击。
开发者也不能全信
有些插件来自知名公司，看起来很可靠。但别忘了，代码可能被篡改，账户也可能被盗。2020年就有案例，一个下载量超百万的Chrome插件被黑，植入了窃取加密货币钱包的恶意代码。
即便是正规渠道发布的插件，更新机制也可能成为攻击入口。一次未经验证的远程更新，就能让原本安全的工具变成监控器。
怎么管住插件的“手”？
除了手动审查，还可以通过策略限制。企业环境中常用的方法是使用组策略或MDM工具锁定可安装插件的白名单。普通用户也可以借助浏览器自带的“限制扩展程序”功能。
例如在Chrome策略中设置：
{
"ExtensionInstallAllowlist": [
"abcdefg12345678"
],
"ExtensionInstallBlocklist": ["*"]
}对于个人用户，建议开启“开发者模式”后定期查看插件行为，发现异常及时处理。更重要的是，安装前去官网或社区查一查评价，看看有没有人反馈隐私问题。
插件市场本是为了提升效率，但如果对权限设置掉以轻心，方便的同时也给攻击者留了后门。每次点击“添加”之前，多问一句：它真需要这么多权限吗？