当用户访问 LinkedIn 时，一个看不见的扫描程序正在遍历其浏览器中安装的每一款扩展程序。这不是科幻场景，而是 BrowserGate 调查团队揭露的现实。根据调查数据，LinkedIn 的扫描范围从 2024 年的约 461 款产品扩展到 2026 年 2 月的超过 6000 款，涵盖 509 款求职工具、200 多款竞品软件，以及识别特定宗教信仰、政治倾向和神经多样性相关的扩展。这种大规模用户检测的核心技术基础，正是浏览器扩展指纹识别 —— 一套包含扩展 ID 枚举、manifest 探测与内容脚本行为分析的完整工程体系。
扩展指纹识别的技术原理
浏览器扩展指纹识别的本质是利用扩展程序与网页环境之间的交互边界，通过探测扩展暴露的接口和产生副作用来推断其存在。与传统的设备指纹识别不同，扩展指纹识别具有更高的精确度，因为扩展通常具有明确的功能目的和独特的代码特征。攻击者只需要掌握目标扩展的标识信息，就能在用户毫不知情的情况下完成检测。
现代浏览器扩展基于 WebExtensions API 构建，运行在隔离的上下文中但仍需与网页进行数据交互。这种架构设计决定了扩展必然会在 DOM、网络请求或浏览器 API 层面留下可观测的痕迹。网站正是通过系统化地探测这些痕迹，构建出用户浏览器的扩展指纹图谱。值得注意的是，这种检测方式并不依赖任何漏洞利用，而是利用了浏览器和扩展系统的正常设计特性，因此防护难度极高。
在技术实现层面，扩展指纹识别通常遵循三层探测架构：底层是扩展资源可访问性探测，中层是扩展行为特征分析，顶层则是基于机器学习的模式匹配。这种分层结构使得检测系统能够从多个维度交叉验证扩展的存在，既提高了检测准确率，又增加了防御的复杂性。
扩展 ID 枚举与资源路径探测
扩展 ID 枚举是实现精确扩展检测的基础技术。Chrome 扩展在安装时被分配一个唯一的 32 字符标识符，这个标识符决定了扩展资源在 chrome-extension 协议下的访问路径。网站通过构造特定格式的 URL 并尝试访问扩展内部的资源文件，可以判断该扩展是否存在于用户浏览器中。这种方法的有效性取决于扩展的 web-accessible 资源配置 —— 如果扩展开发者允许网页访问其资源文件，那么这些文件就成为了可被探测的目标。
具体工程实现通常包含以下步骤：首先建立一个包含已知扩展 ID 和对应资源路径的数据库，然后通过动态创建 script 或 link 标签加载扩展资源，最后根据加载结果判断扩展是否存在。例如，一款名为 "uBlock Origin" 的扩展具有特定的扩展 ID 和资源路径，网站可以尝试加载其 manifest.json 或特定脚本文件，通过 HTTP 状态码或加载成功与否来确认扩展是否安装。更隐蔽的变体会使用 Image 对象或 fetch API 尝试加载扩展内部的图标文件，通过事件回调判断资源是否可访问。
这种技术的覆盖范围远超普通用户的想象。研究表明，主流扩展的 web-accessible-resources 配置普遍存在，且许多扩展的资源文件名称和路径具有高度可预测性。攻击者可以预先构建一个包含数万个扩展资源特征的数据库，实现对用户浏览器的全面扩展扫描。LinkedIn 案例中超过 6000 款产品的检测能力，正是基于这种原理构建的。值得注意的是，这种检测方式在现代浏览器中并非完全无迹可寻，某些浏览器安全扩展已经实现了对异常扩展资源请求的监控和拦截能力。
Manifest 探测与扩展能力推断
Manifest.json 作为扩展的配置文件，包含了扩展的完整能力描述。通过分析 manifest 文件中的字段，网站不仅可以确认扩展的存在，还能推断出扩展可能采集的数据类型和潜在行为。这种信息对于隐私侵犯和定向攻击具有极高的价值。
Manifest 探测的工程实现通常结合了静态分析和动态探测两种方法。在静态分析层面，网站预先获取目标扩展的 manifest.json 内容，提取 content_scripts 匹配规则、host_permissions 权限声明、web_accessible_resources 资源列表等关键信息。这些信息直接揭示了扩展会在哪些网站上注入脚本、能够访问哪些敏感 API 以及哪些资源可被外部页面引用。在动态探测层面，网站可以通过检查自身页面是否被特定的 content script 修改来反推扩展的存在 —— 例如，某些广告拦截扩展会在 DOM 中注入特定的选择器或类名，安全类扩展可能会修改特定的浏览器 API。
更值得深入分析的是 manifest 中的 permissions 字段如何泄露用户隐私。当一个扩展声明了 "tabs" 权限时，它能够访问用户的标签页信息；声明 "webRequest" 权限意味着可以拦截和修改网络请求；声明 "history" 权限则可以读取浏览历史。这些权限组合起来，能够构建出用户在特定网站上的完整行为画像。LinkedIn 扫描的 6000 款产品中，许多正是通过这种权限分析被识别出来的 —— 例如，检测到安装了特定权限组合的求职工具，就能推断用户正在积极寻找新工作。
内容脚本检测是 manifest 探测的延伸应用。当扩展的 content script 被注入到页面中时，它通常会产生可观测的 DOM 变化或 API 修改。网站可以通过监控特定的 DOM 元素是否存在、特定的 CSS 样式是否被注入、或者特定的 JavaScript 对象是否被修改来检测 content script 的存在。这种检测方式的优势在于它不需要预先了解扩展的具体 ID 或资源路径，而是通过行为特征来识别扩展，因此在面对混淆或 ID 变化的扩展时仍然有效。
网络层行为分析与 API 探测
除了直接的资源探测，网站还通过分析扩展对网络请求和浏览器 API 的影响来实现扩展检测。这种方法不依赖于扩展的具体实现细节，而是关注扩展产生的可观测效果，因此具有更强的通用性。
在网络请求层面，浏览器扩展经常使用 webRequest API 或 declarativeNetRequest API 来拦截、修改或阻止特定的网络请求。当用户安装了广告拦截扩展时，常见的广告请求会被阻止；当用户安装了隐私保护扩展时，某些跟踪脚本的请求可能被修改。网站可以通过发送特定的探测请求，观察这些请求是否被修改或阻止，来推断用户是否安装了特定的扩展。这种技术的变体还包括检测浏览器是否修改了特定 HTTP 头、是否添加了特定的 Cookie 或是否改变了请求的时序特征。
在 API 层面，扩展经常通过修改 navigator 对象、window 对象或特定的 DOM 属性来实现其功能。例如，一些隐私扩展会修改 navigator.userAgent 或 navigator.webdriver 属性，安全扩展可能会修改 Canvas API 的输出以防止指纹识别。网站可以通过检查这些 API 的返回值是否被修改、或者通过调用特定的 API 并观察其行为来检测扩展的存在。更高级的技术会利用时序分析 —— 某些扩展的注入会在页面加载时产生可测量的时间延迟，通过高精度计时器测量这种延迟可以推断扩展的存在和类型。
现代的扩展检测系统通常会组合多种探测方法，构建一个多维度的检测模型。每种单独的检测方法都可能存在误报或漏报，但当多种方法的结果相互验证时，检测的可靠性会显著提高。这种系统化的探测框架使得网站能够以极高的准确率识别用户浏览器中安装的特定扩展，即使扩展开发者采取了某些混淆或防护措施。
隐私风险与工程伦理反思
从 BrowserGate 调查揭示的事实来看，扩展指纹识别技术的应用已经远远超出了安全防护的范畴。LinkedIn 使用这种技术扫描用户浏览器中的求职工具，实质上是在用户不知情的情况下监控其职业活动状态；扫描宗教信仰相关扩展，涉及到用户最敏感的个人特征；扫描竞品产品，构成了对商业竞争环境的系统性破坏。这些行为的共同特征是：用户从未被告知、无法拒绝、且被扫描的结果被传输给第三方。
从工程实现的角度分析，这种大规模扩展检测系统的构建需要相当的技术投入。扫描 6000 款产品意味着需要一个持续更新的扩展特征数据库、需要处理不同浏览器和版本之间的兼容性、需要在不影响页面性能的前提下完成隐蔽的探测。这种工程复杂度的存在本身就是一个警示信号 —— 如果一项技术需要如此高的工程投入才能实现，那么它的使用者必然有着强烈的商业动机，而这种动机的正当性值得深入审视。
从法律合规的角度审视，欧盟通用数据保护条例明确要求处理个人数据需要获得明确的同意，而浏览器扩展的安装状态属于可识别个人的技术特征。在用户不知情的情况下扫描这些特征，并将其与用户的真实身份（LinkedIn 账户）、雇主信息和工作职位关联，显然违反了数据最小化和知情同意的原则。这不仅是隐私问题，更可能构成未经授权的个人数据处理行为。
对于普通用户而言，理解扩展指纹识别的工作原理是保护自身隐私的第一步。用户应该意识到，扩展的安装状态并非隐私的避风港，而是可以被网站系统性探测的信息。在选择安装扩展时，应该优先考虑那些对 web-accessible-resources 进行严格限制的扩展；在发现异常的品牌扩展检测行为时，应该及时向相关监管机构报告。而对于浏览器开发者和扩展开发者而言，应该考虑在浏览器层面提供更多的防护机制，例如对扩展资源探测请求的限制、对异常扩展检测行为的警告等，从技术层面减少这种隐私侵犯的可能性。
参考资料
- BrowserGate 调查团队报告：https://browsergate.eu/
- Carnus: Exploring the Privacy Threats of Browser Extension Fingerprinting, NDSS 2020：https://www.ndss-symposium.org/wp-content/uploads/2020/02/24383.pdf
- Fingerprinting in Style: Detecting Browser Extensions via Injected Style Sheets：https://www.usenix.org/system/files/sec21fall-laperdrix.pdf