当一个曾经被数万开发者信赖的开源扩展悄然闭源，并在用户毫无察觉的情况下注入追踪代码和广告弹窗，这一过程揭示了浏览器扩展生态系统中一个被长期忽视的供应链攻击面。JSON Formatter 扩展的案例并非孤例，它代表了当可信开发者放弃维护后，扩展被第三方接管并植入恶意代码的典型路径。本文将从技术机制、风险演化和防御策略三个维度，深入剖析这一现象的成因与应对方案。
从信任到背叛：扩展生命周期终态的信任危机
浏览器扩展的安全风险通常被聚焦于运行时行为检测 —— 即如何识别一个扩展在活动状态下是否在窃取数据或执行恶意操作。然而，一个更为隐蔽的攻击向量在于扩展的生命周期终态。当原始开发者因精力有限、项目兴趣转移或商业化考量而停止维护时，扩展并未从用户的浏览器中消失。相反，它仍然安静地存在于数万台设备上，等待着被重新激活的那一天。
JSON Formatter 扩展最初由开发者 Callum Locke 创建并维护，作为一个开源项目托管在 GitHub 之上。其核心功能简单明确：对浏览器中的 JSON 响应进行格式化，提升开发者的调试效率。这个仅有单一功能的小型工具，凭借其稳定性和零依赖特性，积累了大量忠实用户。然而，随着开发者逐渐淡出维护，开源代码库虽然仍然可访问，但更新频率日趋降低，最终在 Chrome 扩展商店中呈现出一种 “僵尸化” 状态。
正是这种僵尸化状态，为第三方接管创造了条件。当一个扩展拥有稳定的用户基数但缺乏活跃维护时，其在 Chrome Web Store 中的列表就成为可以被收购或夺取的资产。攻击者无需攻破任何基础设施 —— 他们只需接管这个已被遗忘的扩展 ID，将其代码替换为包含恶意功能的版本，然后通过自动更新推送至所有现有用户。这一过程对用户而言是完全透明的：在某个普通的早晨，扩展悄然完成了从工具到间谍软件的转变，而用户对此一无所知。
技术机制：闭源转型背后的隐私侵蚀
JSON Formatter 扩展的转变并非一夜之间完成。根据安全研究人员的分析，该扩展经历了一个渐进式的恶意化过程，其技术特征值得深入剖析。首先是闭源转型 —— 扩展从公开源代码转变为闭源分发，这一变化剥夺了用户和社区对其进行安全审计的能力。在开源模式下，任何人都可以阅读代码、发现潜在的隐私问题或恶意功能；但一旦闭源，这种外部监督机制立即失效。
紧随其后的是权限请求的变更。扩展开始请求更广泛的宿主权限，包括读取和修改所有网站数据的能力。这类权限本身在开发工具类扩展中并不罕见，但当它与闭源代码结合时，就构成了一个巨大的信任黑箱。用户无法知道这些权限究竟被用于格式化 JSON，还是被用于扫描页面内容并提取敏感信息。
更为关键的技术特征是该扩展引入的 Geolocation 追踪机制。研究发现，扩展内部包含一段调用 MaxMind GeoIP2 API 的代码，使用硬编码的 API 密钥查询用户所在国家。虽然当前分析显示这些地理数据并未直接传输至外部服务器，但本地存储的地理信息仍然可以被扩展的其他组件访问或被未来可能植入的代码利用。硬编码 API 密钥本身就是一个严重的安全缺陷 —— 如果密钥被泄露或被逆向工程提取，攻击者可以以该扩展的名义进行大量 API 调用，将用户暴露在更广泛的追踪风险之中。
Checkout 页面 hijacking 是另一个值得警惕的机制。扩展会在用户访问电商网站的结账页面时，注入名为 give-freely-root-bcjindcccaagfpapjjmafapmmgkkhgoa 的 DOM 元素，触发捐赠弹窗。这一行为利用了用户在关键交易节点的心理弱点 —— 当用户正打算完成支付时，突如其来的弹窗不仅打断了操作流程，还通过情境触发的方式诱导非理性的捐赠行为。从技术实现角度看，扩展利用 Chrome 的 content script API 动态修改页面 DOM，劫持 click 和 submit 等事件监听器，在正常的支付流程中强行插入中间层。
扩展与 GiveFreely 平台的通信同样值得关注。它会向 api.givefreely.com 和 events.givefreely.com 发送请求，这些端点负责记录用户在不同网站上的行为数据。虽然表面上看这是为了优化捐赠策略，但这种行为数据的收集本质上构成了未经用户同意的大规模浏览行为监控。代码中还出现了诸如 GF_SHOULD_STAND_DOWN 这类含义不明的变量，虽然目前尚无直接证据表明其用于广告欺诈，但这种命名模式与已知的广告欺诈工具中常见的规避检测机制高度相似。
风险演化：从单一扩展到生态系统信任危机
JSON Formatter 扩展的恶意化并非一个孤立事件，它折射出浏览器扩展生态系统中更为深层的结构性问题。开源项目的可持续性困境是首要因素。开发者投入大量时间构建和维护工具，却面临着商业模式不清晰的尴尬处境。当捐赠渠道不足以覆盖开发成本时，一些开发者可能会选择出售扩展或引入激进的变现策略，而后者往往以牺牲用户隐私为代价。
监管缺位加剧了这一问题的严重程度。与移动应用商店相比，浏览器扩展市场的审核机制相对薄弱。Chrome Web Store 的审查流程主要关注技术合规性（如 Manifest V3 迁移），对于隐私政策和数据处理行为的监督力度有限。这意味着一个扩展可以在数月甚至数年内持续收集用户数据，而不被发现或处罚。即便用户投诉聚集，平台的响应速度也往往滞后于恶意行为的蔓延。
从攻击者的视角看，接手一个已有的扩展具有多重优势。它继承了原有的用户基数和信任背书 —— 用户看到的是一个已经使用多年、评分良好的扩展，而非一个全新的未知来源。它还继承了原有的权限范围，无需重新获取用户的授权。最关键的是，扩展的更新机制会自动将恶意代码推送至所有现有设备，形成一次无声的大规模感染。这种攻击模式与供应链攻击在本质上是相同的：它们不直接 targeting 个体目标，而是通过污染可信的组件来达到广撒网的效果。
更为令人担忧的是这种行为模式对整个生态系统的腐蚀效应。当用户多次遭遇类似的背叛后，对浏览器扩展的信任将被逐步蚕食。一些用户可能会选择完全禁用扩展，另一些则会对安装任何新扩展持极度谨慎态度。这种普遍的不信任感最终会损害整个开发者社区的生存空间 —— 即便是真正有益的、尊重用户隐私的扩展，也将因为整个类别的污名化而难以获得用户的认可。
防御策略：构建扩展生命周期的全链路防护
面对这一挑战，单纯依赖用户个人的安全意识是远远不够的。构建一个更为安全的扩展生态系统需要多层面的协同努力。在用户层面，定期审计已安装的扩展是最基本的防线。建议用户每隔数月检查一次浏览器扩展列表，卸载不再使用或长期未更新的扩展。对于仍然需要保留的扩展，应仔细审查其权限请求 —— 一个 JSON 格式化工具不应该请求访问所有网站数据的权限，同样也不应该在未做任何说明的情况下进行网络通信。
在技术实现层面，用户可以使用 Chrome 的扩展审查功能来监控扩展的行为。访问 chrome://extensions 并启用开发者模式，可以查看每个扩展的版本号、权限说明以及来自其他用户的报告。对于发现异常行为的扩展，应立即卸载并清除相关数据。同时，关注扩展的更新日志和用户评论 —— 如果一个长期未更新的扩展突然发布更新，且更新内容语焉不详，这往往是一个值得警惕的信号。
在社区层面，推动透明度和问责机制是长远方向。要求浏览器扩展平台公开扩展开发者的身份信息、实施更严格的数据使用披露政策、建立恶意扩展的快速下架和通知机制，这些都是可以显著改善现状的制度性措施。一些安全组织已经开始尝试建立扩展安全评级体系，基于静态分析、行为监控和社区反馈等多个维度对扩展进行评分，为用户提供更有价值的决策参考。
对于开源项目的维护者而言，清晰的生命周期管理同样重要。如果决定放弃项目，应明确通知用户并提供替代方案，或将项目移交给可信的维护者。GitHub 的 Archive Program 和类似的遗产项目托管服务可以在一定程度上帮助开源项目实现平稳过渡。最为关键的是，在扩展的描述文件中明确说明是否接受第三方赞助或广告 —— 用户的知情权是信任的基石，任何试图绕过这一点的行为最终都将损害开发者的长期利益。
从 JSON Formatter 扩展的案例中，我们可以清晰地看到：当一个扩展从开放透明的开源项目转变为封闭黑箱的变现工具时，其风险不仅仅是单点隐私泄露，更是对整个浏览器扩展信任模型的侵蚀。在缺乏有效监管和透明机制的当下，用户、社区和平台需要共同构建一个更为健壮的防御体系 —— 否则，下一个被悄然替换的扩展，可能就在我们每天都会访问的页面上潜伏。
资料来源：本文技术细节主要参考安全研究人员发布的 JSON Formatter 扩展逆向分析报告，原始研究见于 Dev.to 社区关于该扩展闭源转型与追踪行为的专题分析。