最近不少朋友关心某些浏览器扩展是否有安全风险，尤其是权限过大风险，有意思的是，有不少人是低估了恶意扩展作恶的风险，也有不少人是夸大了恶意扩展作恶的风险… 我很早就写过浏览器扩展（其中一个开源在我 GitHub 仓库里，黑 Cookies 的，早过期了），也安全审计过某些钱包扩展，所以算是比较懂的一类安全人员。 一个扩展要作恶，比如偷目标页面的 Cookies、localStorage 里的隐私