随着互联网技术的发展，浏览器已成为人们日常生活和工作的核心工具。作为全球最受欢迎的浏览器之一，谷歌Chrome凭借其高效性能和丰富的扩展程序，深受广大用户青睐。Chrome Web Store（简称CWS）作为Chrome浏览器扩展的官方市场，拥有接近12.4万个扩展，覆盖了从生产力工具到购物助手的各类应用，活跃用户数超过十亿。然而，繁荣的扩展生态背后，隐藏着重重安全风险，值得每一位用户高度警惕。尽管浏览器扩展初衷是为浏览器增添功能和提升用户体验，但部分扩展被恶意开发者利用成为传播恶意软件、窃取用户信息或者侵犯用户隐私的工具。即使是看似无害的扩展，一旦代码存在漏洞，也可能被黑客利用引发跨站脚本攻击或敏感数据泄露。
更有甚者，网络攻击者利用浏览器扩展特性实施所谓的浏览器扩展指纹识别技术，从而追踪用户行为并突破匿名保护。因此，用户在选择和安装扩展时，必须保持谨慎。谷歌及其他浏览器厂商虽然对扩展上架实行审核机制，但依然难以杜绝安全隐患。从最近的研究数据来看，截止2023年2月，Chrome Web Store中存在大量含有恶意代码、政策违规或严重安全漏洞的“安全值得注意扩展”（Security-noteworthy Extensions，简称SNE）。这些扩展在平台上的平均存续时间长达数百天甚至数年，给用户带来了长期潜伏的威胁。更令人担忧的是，数以百万计的用户曾安装过这些问题扩展，且大部分用户并未意识到本身处于风险之中。
扩展的用户评分和评论并未表现出明显差异，暗示普通用户难以凭借这些信息辨别安全问题。研究发现，开发者往往发布多款扩展，其中不少开发者曾多次发布含恶意代码或违规扩展，且依然拥有大量现存扩展。这种“黑马”现象让平台治理变得异常复杂。扩展在权限申请上，恶意或不安全扩展往往请求更多的浏览器API权限以扩大攻击面，比如常用的topSites权限可被恶意扩展用于篡改用户的主页设置。同时，绝大多数扩展用户较少，约65%的扩展用户数不足百人，使得通过用户基数实现的匿名保护机制失效，极易成为攻击指纹识别的目标。拓展安全威胁的根源之一源自代码的高度重用。
基于ssdeep模糊哈希算法的代码相似性分析显示，超过两万个扩展划分为数千个代码集群，其中不乏含有同样恶意代码或存在同样漏洞的扩展混合存在。某些扩展甚至复制了过时且含已知漏洞的第三方JS库，例如多年未更新的Extensionizr工具引入的Angular.js及jQuery代码版本。这种依赖过时组件的行为无疑增加了安全风险。研究表明，如果审核团队能充分利用代码相似性信息，对于属于同一集群的扩展应同步采取审查、警告甚至下架措施，将极大提升安全防范效率。除代码安全外，扩展的维护状况普遍不佳。大量扩展在上架一年后无任何更新，近60%未进行维护。
缺少持续的代码更新和漏洞修补，加大了攻击者利用漏洞的可能性。此外，约三分之一的扩展依赖含有已知漏洞的JavaScript库，进一步增加了安全隐患。综合来看，当下Chrome Web Store中的扩展生态存在“短生命周期、高风险、维护不足”的现实困境。用户在浏览和安装扩展时应采取更加审慎的态度。首先，尽量选择具备大量用户和良好评价的扩展，尽管评价可能未完全反映安全性，但至少有助于参考扩展的受欢迎程度和活跃度。其次，关注扩展请求的权限，避免安装权限申请过多或敏感权限申请异常的程序。
此外，应定期清理不再使用的扩展，减少潜在风险暴露。谷歌方面也正不断优化审核策略，推动引入自动化安全工具，提升检测恶意扩展的能力。未来，基于代码相似性分析的集群检测技术可能成为扩展安全管理的重要工具，有望快速识别并封锁潜在风险扩展集群。对开发者而言，应重视扩展的安全设计，避免使用过时和存在漏洞的第三方库，强化对扩展代码的安全审查和维护更新，积极响应用户反馈与安全警告，共同营造健康的扩展生态环境。总结而言，随着Chrome Web Store扩展数量的剧增，用户在享受丰富功能的同时，也面临潜在严峻的安全与隐私风险。面对这些挑战，用户、开发者与平台方需协同合作，提升安全意识，完善技术手段，实现浏览器扩展的安全可持续发展。
只有这样，才能真正打造一个让用户安心、便捷的网络浏览环境。
