仅靠extension-id能否信任浏览器扩展？及相关技术疑问咨询

1. 网页是否有办法确认与之通信的扩展是Chrome网上应用店发布的正版扩展？ #

网页无法直接独立验证，但可以通过以下方式提升可信度：

• 要求扩展主动提供专属验证凭证：比如正版扩展内置的加密令牌，或是扩展向官方后端请求的临时签名，网页拿到后与官方服务器核对有效性。
• 借助扩展授权的managementAPI：若扩展已开放该API权限，网页可调用获取扩展的installType字段——正版商店安装的扩展该值为"normal"，本地篡改的未打包扩展通常是"development"或"unpacked"。但需注意，恶意篡改版可能伪造该字段的返回值。
• 引导用户手动校验签名：让用户在Chrome扩展管理页面查看扩展的数字签名信息，不过这属于用户手动操作，无法实现自动化验证。

2. 其他浏览器的扩展是否也存在类似问题？ #

是的，主流浏览器大多存在同类风险：

• Firefox：扩展ID由开发者签名决定，但用户可修改manifest.json中的专属ID字段，配合本地签名或开发者模式加载未打包扩展，伪造官方扩展的ID，网页同样无法直接验证来源。
• Edge：基于Chromium内核，机制与Chrome一致，用户可提取官方扩展密钥后本地加载篡改版，获得相同ID，网页缺乏直接验证手段。
• Safari：签名验证相对严格，但开发者模式下仍可加载未签名扩展，这类扩展会被浏览器标记为未验证，无法长期在正常模式运行，但本地篡改的可能性依然存在。

内容的提问来源于stack exchange，提问作者ManishB