Chrome扩展权限最小化需五步：一、精确配置manifest.json中content_scripts的matches；二、用activeTab替代host权限；三、动态调用chrome.permissions.request()按需申请；四、用declarativeContent API控制图标显示；五、分离核心与网站专属功能模块。
一、配置扩展的匹配模式
Chrome 扩展通过 manifest.json 文件中的 content_scripts 字段声明运行范围，其 matches 属性决定脚本仅在哪些 URL 上注入。若未精确限定，扩展可能在所有页面执行，造成权限过度暴露或功能误触发。
1、打开扩展根目录下的 manifest.json 文件。
2、定位到 content_scripts 数组中对应脚本的配置块。
3、将 matches 值替换为精确的 URL 模式，例如："matches": ["https://mail.google.com/*", "https://calendar.google.com/*"]。
4、确保不使用通配符 "
二、使用 activeTab 权限替代 host 权限
当扩展仅需在用户主动交互（如点击图标）时操作当前标签页，可避免声明永久性的网站主机权限，从而缩小权限粒度。该方式使扩展默认无权读取页面内容，仅在用户显式授权后临时获得访问权。
1、在 manifest.json 的 permissions 字段中移除具体 host 权限（如 "https://example.com/"）。
2、添加 "activeTab" 权限至 permissions 数组。
3、在后台脚本或弹出页中，使用 chrome.tabs.executeScript() 注入代码，该调用会自动获得当前活动标签页的临时 full access。
4、确认注入逻辑包裹在用户触发事件内（如 chrome.action.onClicked），而非页面加载时自动执行。
三、动态请求网站权限
Chrome 提供 chrome.permissions.request() API，允许扩展在运行时按需向用户申请特定网站的访问权限，而非在安装时一次性索取全部 host 权限。用户可逐个批准或拒绝，实现真正的权限最小化。
1、在 manifest.json 中声明 "permissions": ["permissions"]。
2、在需要访问某网站前，调用 chrome.permissions.request() 并传入目标 origin，例如：{ origins: ["https://docs.google.com/*"] }。
3、检查返回的 Promise 结果：若为 true，则权限已获准；若为 false，需引导用户手动开启或跳过该功能。
4、权限授予后，可通过 chrome.permissions.contains() 实时校验当前是否具备指定 origin 的访问资格。
四、利用 declarativeContent API 控制图标显示
该 API 允许扩展根据当前网页 URL、标题或 DOM 内容，动态决定浏览器工具栏图标是否启用及显示。它不涉及内容脚本注入，但能从 UI 层面隔离非目标网站的可见性与交互入口，辅助权限心理模型对齐。
1、在 manifest.json 的 permissions 中添加 "declarativeContent"。
2、在 background script 中监听 chrome.runtime.onInstalled 事件。
3、调用 chrome.declarativeContent.PageStateMatcher 设置匹配规则，例如：pageUrl: { hostEquals: "github.com" }。
4、使用 chrome.declarativeContent.ShowPageAction 将匹配结果绑定至页面操作，仅在符合条件的页面显示扩展图标。
五、分离核心功能与网站专属逻辑
将扩展划分为独立模块：基础服务（如设置同步、通知管理）使用最小必要权限运行；网站专属功能（如 GitHub 代码高亮、Notion 页面增强）封装为独立 content script，并通过消息机制按需激活。此架构天然支持权限分片，避免单一高权限上下文覆盖全部场景。
1、在 manifest.json 中为不同脚本定义独立的 content_scripts 条目，各自指定唯一 matches。
2、为主扩展声明仅含 "storage" 和 "notifications" 等通用权限。
3、网站专属脚本不声明任何 host 权限，而是通过 chrome.runtime.sendMessage() 向后台请求数据或指令。
4、后台脚本收到请求后，先校验当前标签页 URL 是否属于预设白名单，再决定是否响应或触发对应逻辑。
