去年我把公司采购的活儿接过来时，第一个念头就是怕。怕装在浏览器上的东西把账号摸个底朝天，怕哪天收到一条来路不明的扣款提醒。后来我认清一件事：问「它安不安全」这个问题太大，大到没人能给你一句准话。能落地的问法是另一句：它到底动了我账号里的哪块东西，我能不能自己看明白。这篇文章不替任何工具打包票，我只讲我自己现在怎么查、怎么划线。
判断安不安全，我只看两件可验证的事
我后来不去听工具的自我介绍，也不去搜「某某安全吗」这种帖子。原因很简单，安全与否是别人的主观感受，没法验证。我能验证的只有两件事：第一，它装进浏览器时，到底申请了哪些权限；第二，我导出的数据、它读取的数据，是在我自己电脑里处理的，还是被发到了别人的服务器上。把这两件查清，我心里就有数了。
权限写在安装提示里，装完还能翻出来看
浏览器扩展的权限，不是藏在哪个角落的。你在拼多多点开安装的那一刻，弹窗就会列出来，常见的写法像「读取和更改你在某某网站上的数据」。装完之后它不会消失，在浏览器的扩展管理页里还能一条条翻出来看。我习惯装完第一件事就去翻那个列表。
要分清功能必需和越界。一个帮你批量提交开票申请的工具，读订单页上的数据，那是它干活必须用的原料，谈不上恶意。真正要留神的是另一种：它明明只处理拼多多的订单，却申请了「访问你在所有网站上的数据」这种权限。功能用不上的权限，就是多余的那一块，我一律当信号看。
登录态到底是个什么东西
讲权限绕不开一个词：登录态。登录态是指网站在你登录成功后，发给你浏览器的一张临时通行证，技术圈习惯叫它 Cookie。有了这张证，浏览器再去访问网站时，网站就知道「哦，是这个账号本人」。
工具做的事，本质是借你这张证，在你自己的浏览器里帮你点页面。所以它能看得见的内容，上限就是你自己在这个浏览器里登录后能看得见的东西。这句话反过来也成立：它能做错的范围，也只圈在这一块里，够不到你没登录的、或者不在这台浏览器里的东西。
数据在哪台机器上处理，才是真问题
比权限更关键的，是数据流向。本机处理和上传到别人服务器，是两码事。本机处理的意思是，你导出的订单、你下载的发票图片，一直在你自己电脑里，工具只是调用了浏览器的能力。上传服务器则是另一回事，你的数据走了网络，到了别人的机器上。
有两个线索能自己查。一是装完之后，用系统的网络监控或者浏览器自带的请求记录，看它有没有往外部地址发请求；二是看它有没有要求你把账号密码填进它自己的表单。只要它不要求我交出账号密码，我就算它少了一层风险。
要账号密码的工具，比只要登录态的高一档风险
这一点我栽过跟头才记住。有次试一个网站版的工具，它让我把拼多多账号密码填进它的登录框。我填了，后来越想越不对：登录态是临时的，你退出或者改个设置它就失效了；账号密码可不一样，它在手里就能一直用，甚至能改你的绑定信息。所以我给自己定了一条：要密码的，一律不碰。只要登录态的工具风险就低一截，这是我自己的判断，不是谁的保证。
卸载之后，它到底能带走什么
很多人担心「装了就甩不掉」。从浏览器扩展的机制看，扩展本身卸载了，它存在浏览器里的那部分就跟着走了，不会在后台偷偷留个根。真正留在你电脑上的，是你自己导出的那份文件、你下载下来的那些发票图片，那是你的数据，本来就该在你这，工具带不走，也不需要带走。
我每个月会把导出的订单文件另存一份到公司网盘，这不是防工具，是防我自己手滑把电脑弄坏。数据在谁手里，谁负责，这件事我分得很清。
我给自己划的四条边界
讲了一堆原理，落到日常其实就四条，我照着执行快两年了。
第一条，工具只装在我自己日常用的那台电脑和那个浏览器上，公用电脑、网吧、别人机器一概不装。第二条，我从不一次几百单连着冲。这不是为了躲什么监控，纯粹是别把一次手误放大成几百次，错一单改一单，错一百单就够我喝一壶。
第三条，每个月我自己留一份导出文件，不看工具还在不在，看我自己的备份在不在。第四条，账号不借给别人用，谁要用谁登自己的。四句话，没有一句是「更安全」的承诺，只是把我的可控范围圈清楚。
我现在的做法
现在我固定的流程里，用上的是多多开票助手（装在浏览器上的扩展，安装和首次提交我写过图文教程）。它做的是在我已经登录的拼多多页面上，按顺序打开订单页、填好提交申请，能看见的内容和我在屏幕上自己点开看见的完全一样。它做不到的是另一头，它没法替我保管密码，也不会绕开我自己的登录，每次用还是得我自己登着号。把这条边界想明白，我反而踏实了。
常见问题
怎么查一个扩展到底要了哪些权限？
在浏览器的扩展管理页面里点开这个扩展的详情，权限列表会逐条列出来；安装时弹出的提示里也写过了一遍，两处对得上就能确认它申请了什么。
工具要我的登录态算正常吗？
正常。处理你已登录账号里的订单和发票，本来就需要借用浏览器的登录态，这是功能成立的地基，跟「要密码」不是一回事。
本机处理和上传到服务器怎么区分？
看两点：它有没有要求你把账号密码填进它的表单，以及你用网络记录看它有没有往外发请求。像多多开票助手这类只在你已登录的浏览器里跑的扩展，它不要求你交账号密码，我也没往它里面填过密码。它做不到的也正是这一点：它替不了你的登录，每次还是得你自己登着号。
卸载工具之后，我的数据还在吗？
在。扩展卸载只带走它存在浏览器里的部分，你导出的文件、下载的发票图片留在这台电脑上，那是你自己的数据，跟工具还在不在无关。