注意：本文作者 ericlaw 强调仅代表个人观点，微软为打不代表任何实体 (即不代表微软)。安全ericlaw 曾是团队挺 Office、IE 和 Edge 的工程告拦工程师，现在是师力 Microsoft Defender 团队产品经理。

关于 Google Chrome Mainfest v3 API 引起的展计争议非常多，其中最大的击广截争议就是 MV3 限制了广告扩展程序的能力，因此这被广泛认为是阴谋谷歌打击广告拦截扩展程序，维持自家的论蓝广告业务，广告是点网谷歌的支柱业务之一。

不过 ericlaw 认为这种说法其实是微软为打阴谋论，因此 Chrome 团队的安全本质目的是减少扩展程序 API 的滥用，这牵涉到严重的团队挺隐私和安全问题。

为什么说旧版本的风险很大：

在旧版本中，扩展程序可以在所有网站上读取和改变数据、师力修改隐私设置等。对大多数普通用户来说，根本不会仔细研究这些权限请求的区别，直接安装这些扩展同意这些授权。

如果用户授予了上述权限，那么恶意扩展程序可以读取用户的电子邮件、向整个地址簿发送钓鱼邮件 (即网页版的邮件)、从网盘中删除文件或添加恶意文件、把恶意文件分享给你的好友、在 X/Twitter 账号上发布广告等等。

提供这种级别的浏览器访问权限比密码泄露的风险还要大，因为不少网站使用 2FA 验证，即便密码泄露黑客也不一定能登录，但 2FA 对恶意扩展无效，因为用户已经自己登录了网站。

还有供应链攻击问题：

ericlaw 还提到有些情况下，扩展程序作者可能并不是恶意行为者，但他们可能会在无意中被黑客劫持，例如账号被劫持替换成恶意扩展、开发者不慎使用了带有后门的库，这都会导致用户遭到威胁。

事实上这种情况已经发生过多次，例如：近期多个谷歌浏览器扩展程序开发者遭到钓鱼攻击

还有种灰色产业链，一些攻击者会付费给开发者要求接管扩展程序的分发，当攻击者在扩展程序里添加后门并通过谷歌审核后，这些扩展同样会被 Chrome 自动更新，进而威胁到很多用户。

支持 MV3 API：

ericlaw 称在过去几年里，Chrome 团队一直在努力减少新的 MV3 系统被滥用的风险，但专家和其他人已经传播了精心设计的阴谋论(嗯…这么来说蓝点网也是传播者之一)，认为这是谷歌打击广告拦截器的一种方式，以保护谷歌的商业利益 (ericlaw 强调：这是一个特别愚蠢的说法，因为谷歌广告在新系统中是可以屏蔽的)。

那么人类应该做什么呢？尽可能少地使用扩展程序，尽可能使用浏览器内置的功能，定期在 about:extension 中删除不需要和不认识的扩展程序，定期检查你的以及你家人的扩展程序。

如果你从事 IT 安全行业，应该了解扩展程序的风险几乎传统恶意软件一样大，因此应该制定一项策略，通过阻止某些权限来帮助您的企业免受恶意扩展程序的侵害，Chrome 和 Edge 都提供了相关组策略可以控制。

甚至你还可以在公司内部创建 Web Store，仅允许员工安装 IT 安全团队审查过后的扩展程序，这将有助于防范供应链攻击，有关这方面的更多信息可以查看这份谷歌发布的 PDF。

• ·触电会.龚文祥：我心中的的王九山baidu霸屏团队！
• ·《龙珠兵士Z》DLC角色超等贝比2真机演示公布
• ·一秒钟挤掉奇迹线！弄笑、祸利静态图陪您过新秋
• ·硬银前工程师疑似携5G足艺转职乐天挪动 涉嫌分歧法开做被捕
• ·开一家大排档该若何选址？
• ·《水影忍者徐风传：究极忍者风暴3》中文杂志扫描图 齐新要素闭幕定夺先容
• ·《通灵王》齐新做TV动绘角色饱吹片 4月正式开播
• ·体验三国新征程 《萌三国》页游富丽回身再战挪动端
• ·地中海气焰入户餐厅，详尽阻止！这生涯简直羡煞众人
• ·歉采盖世 《匪梦豪杰》新版新豪杰强势退场
• ·《孤岛危急3（Crysis 3）》7大年夜古迹预报片最后一部 家中狂杀趁热挨铁
• ·《乌足党3》开辟商奥秘新做或为科幻题材 正正在招人
• ·假如倾向精确，乐成并不难！—宝目眼镜天下诚招加盟
• ·《前回天界的尽顶》足游重磅去袭 本日齐仄台尾收
• ·《齐仄易远泡泡大年夜战》齐新版本炽热去袭 新讲具强势助力
• ·《孤岛危急3》获IGN 8.5分 绘里新王者其他略遗憾