内部规则被翻出来｜关于P站网页版-别再乱装插件（账号安全）
内部规则被翻出来｜关于P站网页版——别再乱装插件（账号安全）
最近网上又出现不少“给P站网页版增强体验”的浏览器插件、脚本和扩展，宣传词看着十分诱人：批量下载、高清预览、去水印、自动翻页、夜间皮肤……不过，有一份“内部规则被翻出来”的讨论把风险摆上台面：很多插件需要“读取并更改你访问的网站数据”的权限，一旦滥用，后果远超你想象。下面把问题讲清楚、把该做的事列明白，方便你马上自查与修复。
一、为什么浏览器插件对账号安全危险很大
- 浏览器登录网站时，重要凭证（Cookie、session token、localStorage）都存留在浏览器里。具有广泛权限的扩展能读取页面内容、拦截网络请求、访问存储，从而把凭证窃取或伪造请求。
- 不可信的扩展可能会悄悄向第三方服务器发送抓取到的数据，包括登录信息、私信、创作文件或你保存的图片。
- 侧载、破解或未经审查的插件代码往往没有社区监督和自动审计，恶意代码更容易隐藏在看似“优化体验”的功能里。
- 即便扩展本身最初无害，后续作者或接手者也可能在更新中加入危险代码，用户往往不会察觉。
二、常见的高风险插件类型（尤其针对P站网页版）
- 批量下载器、资源抓取器：需要访问图片资源和页面数据，最容易抓取Cookies。
- 自动登录/记住密码类：需要读取输入框或自动提交，会暴露账号凭证。
- 第三方登录/代抓取服务：把登录凭证发送到外部服务器以便“加速”或“解锁”功能。
- 去水印/破解版权限制工具：往往需深度操作页面DOM和请求，权限过大。
- 非官方的客户端或网页增强器：代码来源不明，更新不受控。
三、攻击手法举例（帮助理解为何危险）
- Cookie窃取：扩展读取document.cookie或通过注入脚本获取localStorage里保存的token，发回控制端，实现账号劫持。
- 请求伪造：拿到token后，以你的身份发请求（发布、私信、下载付费内容等）。
- 页面注入钓鱼表单：替换原页面某部分，诱导你输入密码/验证码，直接获取凭证。
- 后门更新：扩展开始正常运作，后续更新中加入窃取逻辑，用户多已习惯，不会察觉。
四、如何自查与清理（操作清单）
- 立刻检查浏览器扩展：
- 进入浏览器扩展页面（Chrome: chrome://extensions/；Edge: edge://extensions/；Firefox: about:addons）。
- 排查并卸载不认识、下载来源不明、最近安装的扩展。优先移除宣称能“自动登录”“批量抓取”的扩展。
- 留意权限说明：对“读取并更改你访问的网站的数据”的扩展要高度警惕。
- 限制扩展站点访问权限：
- 将有必要保留的扩展改成“仅在点击时允许”或“仅在特定站点运行”。
- 清除会话并强制重新登录：
- 在P站账号安全/登录设置里（或直接清除浏览器cookies），退出所有登录会话，重新在官方页面登录。
- 修改密码并启用额外安全措施：
- 换用强唯一密码，使用密码管理器保存。
- 如果平台提供二步验证或第三方登录限制，启用之。
- 检查是否存在异常行为：
- 查看关注/作品/私信是否有异常变动，检查邮件有无陌生登录或重置提醒。
- 撤销第三方应用和授权：
- 登录账号设置，查找“已授权的应用/网站”，撤销不认识或不再使用的授权。
- 如果怀疑被侵入，尽快联系平台客服并说明情况。
五、安全安装扩展的标准（如何挑选）
- 优先使用官方或浏览器官方商店（Chrome Web Store、Firefox Add-ons）。
- 看源码/开源项目：开源并被审阅的扩展相对更透明。若会看代码，审查关键逻辑；不会也要看社区讨论与Issue。
- 检查评论、安装量、更新时间和开发者信息：长期维护、有大量用户和活跃回复的优于无人维护的新扩展。
- 权限最小化原则：所需权限越少越好，行为是否与声明的功能一致。
- 不要“侧载”来路不明的crx/xpi文件，避免从第三方打包站点下载。
六、替代方案与更安全的做法
- 若只是想下载作品或改善体验，优先使用官方功能（例如官方App或网站的下载/收藏功能）。
- 采用受信任的桌面工具或官网API（若官方开放且你能审查代码），避免在浏览器中直接运行第三方脚本。
- 使用独立浏览器/浏览器配置文件来隔离高风险网站与常用账号（专门开一个干净的Profile只用于登录重要账号，不装额外扩展）。
- 对于必须使用的扩展，定期关注它的更新记录与代码变更。
七、一份可直接执行的短清单（5分钟自查）
- 打开扩展页面，卸载3个你不认识/不信任的扩展。
- 把剩余扩展的站点访问改为“仅在点击时允许”。
- 清除pixiv相关cookies，退出所有设备，再在官方页面重新登录。
- 修改密码并保存到密码管理器。
- 在账号设置里撤销不认识的第三方授权并查看登录历史。
