安装扩展时那句“该扩展将可以……”经常被直接跳过。这句话里的每一项都对应一种具体能力，看懂它们比看评分和下载量更能判断一个划词工具、比价插件或 PDF 标记组件该不该给。

逐项看这些权限是什么意思

1. 读取和更改您在所有网站上的数据。这是最宽的一项。扩展会把内容脚本注入到你打开的每个页面，能读取正文、表单和页面上任何已登录状态下可见的内容。翻译、划词、摘要类确实需要它；只做新标签页美化或深色模式的，只需要在特定网站上运行，甚至完全不需要页面权限。
2. 读取和更改浏览历史记录。只有做标签分组、历史去重、书签同步的会用到。广告过滤、比价、下载工具都不需要这一项。
3. 管理您的下载内容。批量存图、视频片段下载、网盘离线保存类合理；一个划词工具要求它就不合常理。
4. 访问您的标签页。会话保存、标签管理需要。它和“读取和更改”一起出现时，扩展能看到每个标签的地址，也就知道你正在看什么、在哪个站点处于登录状态。
5. 拦截并修改请求。广告过滤和隐私保护类的工作方式就是它，也是这类扩展能看到你所有请求的原因。声明式规则（Declarative Net Request）比实时拦截收敛一些，因为请求数据不需要交给扩展自己的后台处理。
6. 控制通知。提醒、倒计时类正常使用；不少清理、壁纸、比价扩展靠通知推广告，这项可以直接在系统的通知设置里关掉。
7. 在无痕模式下允许运行。默认关闭。开启后这个扩展在你最需要隔离的窗口里仍然注入，风险要翻倍看，除非每天真的在用。

权限为什么比评分更值得看

扩展拿到的是你浏览器当前的身份。它不需要破解密码，只要在你已登录的页面里发一个请求，站点就会认为是你本人在操作。这也是扩展类事故影响大的原因：一次更新改了代码，之前授权过的所有站点就全部暴露了。

检查的入口只有三个：

Chrome   chrome://extensions/
Edge     edge://extensions/
Firefox  about:addons

Chrome 和 Edge 在扩展详情页能看到站点访问情况和完整权限列表，打开开发者模式后还能看到它请求的 host 范围。Manifest V3 的清单里对应字段是 host_permissions 和 permissions，出现 <all_urls> 而功能只在一两个站点用到的，可以在详情页把“在所有网站上”改成“在点击此扩展时”。

三条判断原则

• 权限范围超过功能需要就不装。一个只在国内购物网站工作的比价插件要求 <all_urls>，可以直接放弃。
• 长期不用的扩展卸载，不要只是禁用。禁用后不再注入页面，但配置、本地数据和已获得的令牌仍然留在机器上。
• 更新时的权限变化要看。Chrome 会在新增权限时提示扩展已更新并列出新增项，出现这条提示说明它的能力变大了。

密码管理器、翻译、广告过滤这几类确实需要常驻，建议只从官方商店安装并保持自动更新；其余功能单一的工具能少装就少装。