Chrome扩展程序是扩展个奇怪的东西。明明只是程序些HTML、CSS和JavaScript的扩展压缩包，却能像寄生虫一样钻进浏览器内核，程序改天换地。扩展我电脑里装了四十多个，程序有些几乎不用，扩展但就是程序舍不得删——那种感觉就像抽屉里囤积的旧充电线，明知无用，扩展却总想着“万一哪天用上呢”。程序

拿我最近折腾的扩展一个场景来说。每天上班要登录五个后台系统，程序每个都有独立的扩展密码策略，有的程序要求大写字母开头，有的扩展强制每90天更换，还有的偏偏不许用特殊字符。密码管理器倒是能记住，可每次切换系统都要打开主面板，复制、粘贴、再切换，烦得要死。后来我装了款叫“Session Buddy”的扩展，它不帮你记密码，而是把整个浏览器会话状态保存下来。重启电脑后一键恢复，五个系统全部保持登录状态，连之前开着的标签页位置都分毫不差。那一刻我意识到，扩展程序真正的威力不是功能叠加，而是消灭重复劳动。

但扩展程序也有黑暗面。有次我为了下载某论坛的附件，装了个声称“一键解锁”的扩展。安装时没细看权限要求，结果第二天浏览器的默认搜索引擎被劫持到某导航站，主页也塞满了弹窗广告。查了资料才知道，这类恶意扩展往往通过“权限过度申请”来作恶——明明只是个下载工具，却要求读取所有网站数据、修改浏览器设置。更讽刺的是，Chrome网上应用店的审核机制形同虚设，不少恶意扩展能存活数月才被下架。

开发者视角下的扩展程序又是另一番天地。Chrome的扩展API设计得极其优雅，你只需要在manifest.json里声明权限，就能调用浏览器底层的标签页管理、网络请求拦截、甚至剪贴板读写能力。有个叫“tampermonkey”的扩展，本质上是个用户脚本管理器，但配合开发者工具，你能在任意网页上注入自定义代码。我曾经用它写了个小脚本，自动把公司内部系统里冗长的工单编号转换成可点击的链接，整个团队的工作效率提升肉眼可见。这玩意儿的学习曲线陡峭，但一旦上手，你会觉得浏览器就是个任你摆布的积木玩具。

另一个常被忽略的事实是：扩展程序正在改变浏览器的竞争格局。火狐和Safari拼命追赶Chrome的扩展生态，但差距依然巨大。不是技术不行，而是开发者习惯的力量太强了——绝大多数人写扩展程序时，第一反应就是“先兼容Chrome再说”。微软的Edge改用Chromium内核后，直接继承了这套生态，倒是省了不少力气。不过这种垄断地位也带来隐患：万一哪天Google调整扩展政策，几十万开发者的生计就要跟着动摇。

回到日常使用，我现在养成了个习惯：每次安装新扩展前，先看看它的“网站访问权限”列表。如果某个PDF阅读器要求访问所有网站，我直接放弃。这年头，免费的扩展往往靠出售用户数据盈利，你图它的功能，它图你的隐私。倒不是说所有扩展都心怀鬼胎，但保持警惕总没错。毕竟，浏览器里存着你的银行账户、工作邮件、甚至私人聊天记录——把钥匙交给别人之前，至少得确认对方不是个贼。

扩展程序就像瑞士军刀，用得好能切菜削苹果，用不好可能割伤手指。关键在于，你得知道自己到底需要哪把刀，而不是看到什么工具都往兜里塞。