转自：https://segmentfault.com/q/1010000003777353
1）Chrome插件本身有机制控制，不会无限制的开放很多权限给你
2）页面的DOM元素时可以操作的，Chrome插件是和宿主页面之间是共享DOM对象，但是不共享Javascript上下文容器
也就是说在插件中你不能也无权执行宿主页面中的JS脚本。这个和跨域限制同理
3）既然可以操作DOM元素，那么可以通过插入<script>节点的方式，在宿主页面中写入脚本，在宿主页面中执行
4）基于第3点，你就不要随意的使用别人提供的插件，尽量从官方市场下载经过安全审核的。除非你确认这个插件是可信的或仅限于内部使用的
除了操作dom和js，再补充点吧，你的cookie也是能够被插件所操作的（有很多cookie工具插件），而且估计最大的危险就是cookie被操作了。