瀏覽器擴充功能本身談不上一律安全或一律危險。只有用途、發佈者、權限、資料處理、維護和近期行為都說得通時，瀏覽器擴充功能才算足夠安全、值得安裝。商店頁面、高下載量、好評或審核徽章都是有用證據，但都不能永久保證安全。

關鍵要點

先問是否真的需要它；每個附加元件都會擴大瀏覽器信任的程式碼。

把每項權限對應到你理解的功能，尤其是所有網站、瀏覽紀錄、下載、剪貼板或代理設定。

所有權變更和權限增加後都要重新評估，而不只在首次安裝時。

移除不用的擴充功能，並調查重新導向、搜尋設定被改、插入廣告或無法解釋的帳戶活動。

這份專項審核可配合較全面的網絡安全指南及完整的瀏覽器安全檢查使用。

瀏覽器擴充功能可以存取甚麼？

瀏覽器向擴充功能開放受控能力，它們才能提供實用功能。視乎權限，它可以讀取或修改網頁、觀察標籤頁、存取瀏覽歷史、管理下載、使用剪貼板，或更改網絡代理設定。Chrome 的權限文件列出的警告涉及網站資料、瀏覽歷史、標籤頁與瀏覽活動，以及複製貼上的資料。［1］

有權限不等於濫用。密碼管理工具可能要與登入欄位互動，翻譯工具可能要讀取頁面文字。存取範圍超出功能所需、說明含糊，或發佈者無法問責時，風險才出現。

權限或能力	可以做到甚麼	應該問的問題
讀取和更改所有網站上的資料	查看頁面內容並修改許多網站的顯示	功能真的需要所有網站，還是可限於指定網站？
讀取或寫入剪貼板	觀察複製內容或把內容放進剪貼板	複製是否核心功能？是否只在用戶操作時啟用？
瀏覽歷史	知道你何時瀏覽過哪些頁面	為何需要歷史紀錄，而不只是目前的標籤頁？
標籤頁及目前標籤頁	查看標籤頁標題、網址或與目前頁面互動	存取是否暫時、只在點擊擴充功能時觸發？
下載	開始、觀察、更改或管理下載檔案	檔案處理是你明確選擇的功能嗎？
代理或 VPN 設定	轉送瀏覽器流量或改變網絡行為	流量轉送是產品聲明的用途嗎？營運者身份清楚嗎？
通知	發出持續的瀏覽器提示	提示有必要嗎？會否變成誤導提示？

判斷標準是相稱性：拼字工具要存取文字欄位說得通；簡單的取色工具要管理下載、瀏覽紀錄和代理設定就說不通。

安裝前怎樣做瀏覽器擴充功能安全檢查？

每次按同樣次序檢查，別讓精美的商店頁面掩蓋薄弱的可信程度。

確定真正需要。 先看瀏覽器是否已內置該功能，避免安裝多個功能重疊的附加元件。
確認官方來源。 盡量從開發者官網進入商店頁面，核對發佈者名稱、網站和支援電郵。名稱相近、圖示抄襲在假 App 中很常見。
讀完完整的權限警告。 把每項權限轉換成具體能力；說不清為何需要，就先暫停。
細閱私隱政策。 看清收集哪些資料、為何收集、傳送到哪裏、保留多久、會否出售或分享。對於廣泛的存取權限，「可能收集使用資訊」這類含糊字眼並不足夠。
核對維護證據。 查看最近更新、版本說明、客服回覆，以及發佈者是否仍在維護網站。上架時間本身不是決定因素，但無人維護的高權限軟件是差劣選擇。
把評價當作報告，而非投票。 搜尋近期低分評價有否反覆提到重新導向、廣告、搜尋被改、意外訂閱或換了新擁有人。評分可能被操控，也可能描述的是舊版本。
比較替代品。 優先揀選權限較窄、發佈者較成熟、可只在點擊時或指定網站運行的選項。

哪些瀏覽器擴充功能權限需要特別謹慎？

所有網站權限最值得關注，因為現代網頁包含電郵、文件、網上銀行、工作後台和帳戶復原表格。「讀取和更改資料」可能讓附加元件看到頁面內容，並改動你操作的內容。瀏覽器提供相關控制時，應限制為指定網站或由用戶觸發的存取。

瀏覽紀錄、剪貼板和下載的影響可能超出目前標籤頁。剪貼板可能有密碼或付款資料；瀏覽紀錄可能暴露敏感興趣和所用服務；下載管理可能影響進入裝置的檔案。危險取決於能力何時、如何使用，而不只是權限名稱。

代理或 VPN 控制會改變瀏覽器流量的去向。把它當作選擇網絡服務：弄清營運者，理解私隱條款，別因名稱有「免費」或「安全」就認定資料處理可靠。危險 App 權限的一般原則在這裏同樣適用。

Chrome 文件介紹了開關擴充功能和更改網站存取權限的控制。［2］只要不影響功能，就選「點擊時」或指定網站。

Mozilla 面向消費者的指南採用同樣的證據類別：開發者、權限、私隱政策、評價、網站，以及是否仍在積極維護，並清楚指出審核計劃和商店管控無法消除所有風險。［3］

能否掃描瀏覽器擴充功能內的病毒？

只能部分做到。開啟 Chrome 的加強保護（Enhanced protection）後，如你準備安裝的擴充功能來自 Chrome 尚未按 Chrome Web Store 開發者政策認定為可信的開發者，瀏覽器會先發出警告；新開發者一般要數個月才取得可信狀態，所以這個警告是提示你核實，而非惡意軟件的證據。［2］Chrome 說明中心亦建議，在其他軟件可能影響瀏覽器時執行防毒或反惡意軟件掃描。［2］掃描結果乾淨只代表沒有發現已知的惡意程式碼，並不能判斷擴充功能收集的資料是否超出其功能所需。

更新時要檢查甚麼？

安裝時可信的擴充功能，之後也可能變得危險。開發者可能出售項目，維護者帳戶可能被盜，新的商業模式可能引入資料收集。自動更新意味着你依賴的程式碼和權限，可能在你沒有重新選擇時改變。

瀏覽器顯示新的權限請求時先暫停。看清改了甚麼，並與你已信任的途徑所發佈的版本說明對照。如果說明只寫「改進」，卻要求所有網站、瀏覽紀錄、下載或代理控制，請先停用，直至發佈者解釋清楚。

所有權變更需要全面重新評估：檢查開發者名稱、官網、私隱政策、支援電郵和資料控制者有否改變。熟悉的擴充功能名稱，不會把前擁有人的信譽帶進新機構。

不要只因它將停止運作就批准升級；受管理的工作裝置請由管理員審核變更。

如何進行瀏覽器附加元件審核？

定期審核已安裝項目，瀏覽器行為有變時也要審核。

透過瀏覽器本身的選單或設定開啟擴充功能管理頁面，不要經彈出廣告開啟。
移除不再使用的項目。停用後被遺忘的附加元件仍留下維護負擔，也可能經同步或另一個設定檔重新啟用。
檢查每個項目的網站存取權限，可行時把「所有網站」收窄為「點擊時」或指定域名。
重新核對發佈者、私隱政策、最近更新時間和目前權限。
檢查每個瀏覽器設定檔，包括工作、學校和備用設定檔。
檢查瀏覽器同步：在一部裝置移除的擴充功能，可能仍留在另一部同步裝置，或經同步設定再次出現。
確認預設搜尋引擎、啟動頁、首頁、通知權限和代理設定沒有被意外更改。

懷疑不安全時怎樣處理？

先停用，令它不再接收一般瀏覽器事件。記下準確的商店頁面、發佈者、版本、權限和引起懷疑的行為。然後在瀏覽器的擴充功能管理頁移除；不要點可疑彈出視窗提供的解除安裝連結。

重設它改過的搜尋引擎、啟動頁、通知或代理設定。檢查下載紀錄和同期加入的其他附加元件。更新瀏覽器和作業系統；若它下載過檔案、導向惡意頁面，或與更廣泛的裝置異常同時出現，再執行可信的保安掃描。

帳戶暴露要另行處理。如果它能讀取你登入過或輸入機密的頁面，請用可信的瀏覽器設定檔或另一部裝置更改重要密碼、撤銷工作階段並檢查復原方式，先由主電郵、金融帳戶、工作系統和密碼管理工具開始。移除它不會撤銷工作階段權杖，也不會抹走已傳送的資料。

若已同步，請從所有受影響的瀏覽器和設定檔移除。受管理裝置請把商店頁面和版本號報告給管理員，不要自行深度清理，以免破壞紀錄檔。

安裝後會出現哪些危險信號？

留意重新導向、搜尋引擎或首頁被改、插入的廣告、新工具列、陌生通知、自行開啟的標籤頁、意外下載，或瀏覽器流量經過不明代理。單獨的 CPU 或記憶體用量上升只是薄弱證據，但伴隨新擴充功能和無法解釋的行為時就值得重視。

也要留意帳戶提示和被細微改動的頁面。有頁面存取權限的擴充功能可能修改連結、插入表格或讀取資料而無明顯警告。請遵從安全瀏覽習慣：重要網址自行輸入，帳戶訊息到官方服務內核實。

總結

商店徽章、評分或下載量都不能永久保證擴充功能安全。
只為明確需要而安裝，優先揀選可問責、權限窄的發佈者。
新權限和所有權變更都要重新評估，不要把安裝當作一次性決定。
審核所有設定檔、網站存取權限、同步和被改動的瀏覽器設定。
停用並移除可疑附加元件，再把裝置暴露和帳戶暴露當作兩項獨立工作處理。

常見問題

官方商店一定安全嗎？

不一定。商店審核和自動掃描能減低風險，但無法保證每個現有或將來版本。請自行評估發佈者、權限、私隱做法、維護情況和實際行為。

下載量高就值得信任嗎？

不能證明。受歡迎程度只是一個訊號，而且可能反映舊版本或前擁有人。近期的權限變更和現任發佈者是否可問責，比累積安裝量更重要。

存取所有網站就一定是惡意嗎？

不是。部分密碼管理工具、無障礙工具和內容工具確有正當理由需要廣泛存取。但請求仍應與功能相符、來自你能確認身份的發佈者，並在可能時收窄範圍。

普通用戶必須審查原始碼嗎？

只有你具備相關專業，並能確認審查的程式碼與實際安裝的版本一致時才有意義。對大多數人而言，權限、發佈者身份、私隱政策、維護情況、網站存取控制和實際行為才是切實可行的檢查。

更新突然要求更多權限怎麼辦？

先停用，批准前調查這次改動。把請求與功能和版本說明對照；如果發佈者給不出可信解釋，就移除該附加元件。

移除擴充功能能收回被盜資料嗎？

不能。移除只能阻止該安裝以後繼續存取，無法取回已傳出的資料，也無法撤銷被盜的工作階段。請在可信環境中保護可能已暴露的帳戶。

同步會重新安裝不安全的擴充功能嗎？

會。請檢查每部同步裝置和每個瀏覽器設定檔，確認它確已移除。同時檢查搜尋、啟動頁和網站權限等同步設定。

停用後就完全無害嗎？

停用會停止一般運作，但把不用的軟件留在設定檔內，會令日後的判斷更困難，也可能與同步互相影響。保存所需證據後，移除不打算使用的項目。

免責聲明：本文提供一般網絡安全教育，並不保證任何特定擴充功能安全。

來源

Google Chrome Web Store Help — Permissions requested by apps and extensions — https://support.google.com/chrome_webstore/answer/186213?hl=en
Google Chrome Web Store Help — Install and manage extensions — https://support.google.com/chrome_webstore/answer/2664769?hl=en
Mozilla Support — Tips for assessing the safety of an extension — https://support.mozilla.org/en-US/kb/tips-assessing-safety-extension

Sources checked 2026 年 10 月 4 日。

延伸閱讀：

如何判斷瀏覽器擴充功能是否安全？查發佈者、權限與維護記錄