插件的风险不在它叫什么，而在它申请了什么权限。「读取和更改所有网站上的数据」意味着它能看到你登录后的每一个页面，包括网银和邮箱。
浏览器插件是最好用也最容易被忽略的一类软件。它装起来只要一次点击，之后常驻在浏览器里，能读到的东西比多数人以为的多。
权限分级
**低风险**：只在特定网站上生效，比如「仅在视频站点添加下载按钮」。范围明确，风险可控。
**中风险**：读取当前标签页内容。能看到你正在看的页面，但不能跨站追踪。
**高风险**：读取和更改所有网站上的数据。这一条意味着它在你登录的每一个页面上都有读写能力——邮箱、网盘、后台、支付页面。
**极高风险**：再加上「读取浏览历史」「管理下载」「访问剪贴板」这类。剪贴板尤其要小心，密码管理器复制出来的密码就在里面。
安装时弹出的权限清单，就是这几项的组合。看到「所有网站」加上「读取剪贴板」，除非你非常确定它的用途，否则不要装。
三个常见的过度授权
- 一个换主题的插件要「所有网站」权限：主题只需要当前站点 - 一个截图插件要「读取浏览历史」：截图不需要知道你去过哪 - 一个比价插件要「读取剪贴板」：比价只需要当前商品页
这些不一定有恶意，可能是开发者图省事用了宽权限。但宽权限一旦被滥用或被攻破，代价由用户承担。
怎么查已装的插件
浏览器的扩展管理页能看到列表和每项的权限详情。建议做一次清点，重点处理三类：装了很久没用的、来源不明的、权限和用途不匹配的。
用完即删
比审核权限更省事的一个习惯：需要时安装，用完立刻停用或卸载。插件不像软件那样需要长期驻留，多数是一次性需求。
一个容易被忽略的点
插件更新后可能申请新权限。浏览器通常会提示，但提示很轻，容易被点掉。如果某个插件突然要求更多权限，先停用它，再决定要不要继续用。这条规则能挡掉相当一部分供应链风险。