extension-analyze

用途

Extension Analyze（Security & Compliance Auditor）用于审计已有的 Chrome 扩展，检查安全问题、最佳实践违规、性能问题以及 Chrome Web Store（CWS）合规性。其定位是执行审计工作流，而不仅仅是解释流程。

主要能力

该技能围绕一套可执行的工作流展开，覆盖以下检查环节：

定位扩展根目录并识别框架：若用户未提供路径则询问。通过检测 wxt.config.ts、crxjs.config.ts、vite.config.ts、manifest.json 等文件判断框架。CRXJS 的 manifest 为自动生成，需改查 package.json 与 crxjs.config.ts；WXT 需查看 wxt.config.ts 的 manifest 部分；原生/CRXJS 则直接查看 manifest.json。
扫描 manifest.json（或等效配置）：检查 manifest_version、permissions、host_permissions、content_security_policy、web_accessible_resources。
快速 grep 扫描：检索 XSS 向量（innerHTML、outerHTML、document.write、insertAdjacentHTML）、不安全模式（eval(、new Function(、setTimeout/setInterval 字符串形式）、硬编码密钥（api_key、apiKey、secret、password、token）、HTTP（非 HTTPS）调用、消息处理器（onMessage、addListener）的发送方校验、远程代码加载（importScripts、fetch *.js、eval、chrome.scripting.executeScript）。
检查 CSP 配置：MV3 默认 CSP 为 script-src 'self'; object-src 'self'。标记任何 unsafe-inline、unsafe-eval 或 http: 来源，并确认没有远程脚本来源。
依赖审计：运行 npm audit --json 并按严重级别列出漏洞包。
生成报告：按严重级别分组输出发现的问题。

严重级别标准

Critical：RCE、数据外泄、远程代码加载、对不可信输入使用 eval。
High：XSS、缺少发送方校验、源码中的 API 密钥、HTTP API 调用。
Medium：权限过宽、unsafe-inline CSP、同步存储中的密钥。
Low：缺少错误处理、无 TypeScript、生产环境中的 console.log。

常见问题清单

资料列出了多数扩展中最常见的十类问题：使用页面来源数据的 innerHTML（XSS，High）；onMessage 未校验发送方来源（High）；不需要时使用 <all_urls> 主机权限（Medium）；CSP 中的 unsafe-inline 或 unsafe-eval（Medium/Critical）；源码中硬编码 API 密钥（Critical）；使用 eval() 或 new Function()（Critical）；chrome.storage.sync 存储敏感数据（Medium）；使用 HTTP 端点而非 HTTPS（High）；远程脚本加载（违反 MV3，Critical）；缺少 web_accessible_resources 限制（Medium）。

输出格式

报告以 Markdown 形式输出，包含：标题（扩展名与版本）、日期与 MV 版本、按严重级别统计的摘要、逐条发现（含严重级别、标题、文件与行号、匹配模式、修复建议、参考链接），以及通过检查项列表（如 CSP 无 unsafe-inline/eval、所有 API 调用使用 HTTPS）。

参考资料

技能附带以下参考文件：references/security-checklist.md（完整安全审计清单）、references/best-practices-checklist.md（性能、UX、可访问性、CWS）、references/common-vulnerabilities.md（漏洞模式与 grep/修复）、references/cws-compliance-checklist.md（Chrome Web Store 政策合规）。同时引用 Chrome Permissions List 与 Chrome Extensions Docs。

限制

资料未提供该技能的具体安装方式、运行环境要求、支持的扩展框架完整列表、价格或收费信息（仅提及可在 https://app.extensionbooster.net/dashboard/services/extension-ai-kit 获取 Premium 版本），也未说明其自动化程度与人工介入边界。

技能介绍

用途