群里有人发了个网页去广告的脚本链接，说装个浏览器扩展就能用。点开页面，满屏代码和安装按钮，权限说明写着可以读取和更改所有网站的数据。这种脚本装不装，得先知道它到底能干什么。
Greasyfork 是什么
Greasyfork 是一个用户脚本分享平台，脚本本身是 JavaScript，靠 Tampermonkey、Violentmonkey 这类管理器在网页里执行。它能改页面样式、加按钮、批量下载图片，也能读取页面上的登录状态。平台只负责托管，脚本由个人上传，审核有限，下载量和评分不能完全代表安全。
管理器本身也是浏览器扩展，装之前看清它申请的权限。多数管理器会要求读取和更改所有网站的数据，这是运行脚本的前提，但也意味着一旦脚本作恶，影响范围不小。手机浏览器对脚本的支持有限，别指望装完和电脑上一样。
安装前看哪几行
- @grant 权限：none 表示不调用特殊接口，权限越小越安全。
- @match 范围：只匹配需要的域名，写全站通配的等于每个网站都生效。
- 更新记录：长期不更新、作者消失的脚本，遇到网站改版容易出问题。
- 评论区：翻最近几条，看有没有人反馈盗号、跳广告、劫持链接。
脚本更新一般是自动的，作者把恶意代码塞进新版本，管理器也会照样拉下来。重要的网站，装之前把自动更新关掉，或者干脆不用。
风险主要在数据上
脚本运行在页面里，能读到你在这家网站上的 Cookie、表单内容和聊天记录。正规脚本只改界面，恶意脚本可以把数据发到自己的服务器。银行、邮箱、公司后台这类页面，尽量别装来路不明的脚本。要求关闭浏览器安全设置、要求装证书的，直接放弃。
想用就做好隔离
用一个单独的浏览器配置文件跑脚本，别和日常登录的账号混在一起。装完观察几天，看页面有没有多出奇怪的广告位、链接有没有被改写。发现异常先在管理器里停用全部脚本，再逐个排查。greasyfork官网脚本 不是不能用，而是当成陌生人给的程序来对待：看权限、看更新、看评论，三样都过关再装。
说到底，脚本省下的时间很有限，账号被盗的代价却不小。拿不准的，不装最省心。