把密码交给密码管理器之后，风险并没有消失，而是转移了位置：从「记不住这么多密码」变成了「自动填充会不会填到不该填的地方」。这不是理论担忧——钓鱼页面正是靠外观相似骗过人眼，而自动填充如果配合得不够谨慎，会让这一步变得更快、更不假思索。
这篇谈的是使用浏览器密码扩展时的几个具体动作：填充之前看哪里、权限该怎么核、以及哪些环境不适合保存长期登录状态。
自动填充前先看地址栏
官方帮助把自动填充作为浏览器扩展能力之一。实际使用时，先核对域名拼写、顶级域和页面是否为预期登录入口，再触发填充。相似域名、嵌入式登录框和跳转页都值得停下来复查；密码库中保存了条目，也不表示当前页面就可信。
三个日常设置动作
- 只从官方商店或官方安装页安装扩展，并在浏览器扩展管理页核对发布者和权限。
- 为密码库设置独立的强主密码，并在设备离开时锁定；不要把恢复信息与主密码放在同一处。
- 对高价值账户优先使用多因素认证和独立恢复方案，定期检查条目 URL 是否过宽或过时。
边界：扩展不是反钓鱼的替代品
自动填充能减少重复输入，却不能替用户判断钓鱼页面、恶意扩展、已受控设备或账户恢复流程。公共电脑、共享浏览器配置和不受信任的远程桌面不适合保存长期登录状态。本文没有审计源码，也没有测试任何具体版本。
把「停一下」变成固定动作
安全建议最容易失效的地方在于它依赖自觉。更可靠的做法是把检查嵌进流程里：养成「先看地址栏、再点填充」的顺序，而不是「点了填充、顺便看一眼」。顺序反过来，检查就形同虚设。
几个值得警惕的信号：页面通过邮件或消息里的链接跳转而来；域名拼写与你熟悉的略有出入；登录框嵌在另一个页面里；以及扩展没有自动识别出这个站点——最后这一条尤其值得注意，因为它往往说明当前域名与你库里保存的并不一致。
条目本身也需要定期整理
密码库用久了会积累问题：早年保存的条目 URL 过宽（比如只写了一个顶级域名）、同一个服务存了三四份重复条目、已经注销的服务还留着。这些都会削弱自动填充的判断准确度。
建议每隔一段时间做一次整理：删掉不再使用的条目、合并重复项、把过宽的 URL 收窄到具体的登录地址。顺手也可以检查一下哪些重要账户还没启用多因素认证，做法见先补恢复路径，再启用通行密钥。
三种环境，三种不同的做法
自己的常用设备。这是密码扩展最适合的场景：库保持锁定、离开时自动锁屏、主密码独立且从不复用。日常使用几乎没有额外负担。
共用或临时设备。不建议保存长期登录状态。确需使用时，用完立即退出并清理浏览器数据；更稳妥的做法是干脆用手机查看密码、手动输入，而不是在这台机器上登录密码库。
受管理的工作设备。先确认单位的政策允许安装哪些扩展。工作设备上可能存在管理软件与安全策略，自行安装扩展有时既不合规也不安全。
三种环境的差别不在于技术，而在于「这台设备你能不能完全信任」。判断清楚之后，该做什么其实很自然。
日常使用的自查清单
- 我是先看地址栏、再触发填充的吗？
- 扩展是从官方商店安装的吗？权限我核对过吗？
- 主密码是独立的强密码，且没有存在库内吗？
- 离开设备时，密码库会自动锁定吗？
- 高价值账户是否都启用了多因素认证？
常见问题
扩展没自动弹出填充建议，是坏了吗？
先别急着手动复制粘贴。更常见的原因是当前域名与条目里保存的不一致——而这恰恰是需要你停下来确认的信号。
公共电脑上能用吗？
不建议保存长期登录状态。确需使用时，用完立即退出并清理浏览器数据，不要依赖「关掉窗口就好了」。
把恢复信息和主密码放一起可以吗？
不可以。放在一起意味着一次丢失就同时断掉两条路，具体安排见恢复码、主密码与紧急访问该怎样分工。
手机和电脑上的库需要一致吗？
一致会更省心，但要注意两端的锁定策略与自动填充设置可能不同，值得各自确认一次，而不是假设它们行为相同。
要不要把浏览器自带的密码管理也一起用？
两套并用容易造成条目分散、填充冲突。建议选定一套作为唯一来源，另一套关闭其保存与填充功能。
扩展权限看起来很大，正常吗？
密码扩展确实需要在网页上工作，因此权限范围通常不小。判断是否合理的方法见把「读取所有网站数据」翻译成可执行检查。
