浏览器非常不安全！

[xxl123456]

现在电脑上有谷歌浏览器登录一个账号，edge 登录另一个账号， 现在我的操作来了，先卸载 edge ，用 geek 卸载，然后重新从官网下，下载完成之后打开，之前 edge 登录的账号还在登录， 并且 edge 把谷歌浏览器账号的书签、历史记录、扩展，甚至密码都导入到 edge 的账号中， 有没有大佬知道为啥会这样？

[hez2010]

1. edge 和 chrome 用的都是 chromium ，密码管理是在 chromium 层面做的，所有使用 chromium 内核的浏览器都可以相互导入数据和密码。
2. chromium 把用户密码加密后存储在本地文件，但是加密用的密码是明文存储的，所以任何的程序其实都能访问你的密码
3. Windows 也有像 macOS 钥匙串那样的安全的凭据管理器，并且以前老 edge 和 IE 都是用那个的，非常安全。但无奈 chromium 不用这玩意非得自己整了个完全不安全的实现，即使在 macOS 上 chromium 也没用苹果的钥匙串，所以在 macOS 上 chromium 内核的浏览器的密码存储也不安全。
4. 有人说到浏览器可以设置主密码在访问密码前输入验证，其实那个只是是浏览器的 UI 层面做的，而不是 chromium 层面和密码文件上做的，只是用来防未经允许自动填充了密码这种情况的，底下的密码存储仍然不安全。

[duanxianze]

@LOGOSJ 有啥可怕的呢？就好像你家有个钱包，谁进来都能拿，你要做的是锁上门，而不是发明一个别人摸不着的钱包，类比电脑，你应该锁屏，这样就不会泄露，还担心，可以全盘加密

[duanxianze]

@ysc3839 再补充一下，所以 chrome 显示密码明文的时候是让你校验系统开机密码，只要保证你对当前用户具有绝对的控制权就好了

[RanKaede]

别以为只有浏览器会访问，
某厂的管家一样会访问用户的浏览记录等隐私信息。
https://v2ex.com/t/836014

[pkokp8]

数据库可以直接读 cookie

[LOGOSJ]

@ysc3839 无法访问钥匙串就行，担心的是传输出去

[8355]

如果按照你说的，edge 只需要不读取对应目录数据就可以说明浏览器是安全的嘛？

[zhoust]

哇 好不安全！再也不用浏览器了

[beixiao]

你就是为了这么点事，就把大家叫出来啊😅

[nothingistrue]

你必须知道，Windows 、Linux ，一直都是本地操作系统，而本地资源安全的重点，是防止外部入侵和多用户之间的资源隔离。对于同用户下，非病毒程序之间，是不做任何隔离的。虽然上层一直再鼓捣着一些外部防护措施，但内核这么多年一直都是这么干的，所以本质一直没变。

在以上体系下，别说 edge 、chrome 之间，就是 Firefox ，以及各种不搞特立独行的浏览器，它的书签、历史记录、以及密码，都是相互可读的。并且，其他软件也都是可以读的，只要你用得是同一个操作系统用户。这些都是合法的，杀毒软件不能管（而且视地方的不同，管了可能还要吃垄断官司）。

如果跟手机操作系统类比，那么 Windows 、Linux 上的每个程序，都相当于取得了所有权限的应用。所以不要随意装你不能 100%信任的任何程序。

现在回头来看，你就能发现 Win 11 这种，在内核还是本地多用户操作系统的前提下，强制绑定微软账户将其当作单用户网络终端——即手机操作系统的行为，是多么脑残。

[ColoThor]

所以改用了 firefox

[Monl]

Firefox 也可以一键导入 Chrome 密码，虽然知道就这样设计，但想想随便一个应用程序都可以读取还是挺膈应的，所以把 Chrome 密码全删了换 Keepass 了。或者用火狐，它有个主密码的功能，每次输入密码都需要主密码来解锁，就是有点麻烦。。

[stanshw]

在设置里关掉 edge 的自动导入 chrome 数据！！！（默认开启）之前有一次发现每次 chrome 上一次关闭的网页都会在下一次 edge 的会话里出现，发现是这么个问题

[ysc3839]

@duanxianze 那个验证只是 Chrome 自己加的，实际上不需要也可以读取。

[someday3]

基础太差了，建议少混论坛多读书

[qinyui]

@AoEiuV020JP 那确实太不安全了，电脑上任意一个软件都可以读取 chrome 里存储的密码泄露出去，书签浏览记录什么泄露倒是无所谓，关键是密码。。。以后尽量不用这个功能了。。。

[zgsi]

亏你还是程序员。。。

[LandCruiser]

@someday3 请问读什么书能增强此类常识呢？我是非科班出身，读操作系统吗？

[hez2010]

@nothingistrue
> 强制绑定微软账户将其当作单用户网络终端

但你可以在系统上登录多个微软账户来以多用户的方式来使用啊？不同用户之间的也不能访问对方的文件，除非有系统管理员权限。所以其实是多用户网络终端。

[lambdaq]

首先，这个帖子是发在 程序员 节点的，那么我就要好好喷一喷现在的程序员了。

如果你是浏览器制造商，用户档案各种信息，存哪里呢？存文件对吧。而且一般都是存本地（否则断网的时候不给别人用浏览器了）

那么问题来了。你卸载 & 重新安装浏览器，是不是还是会去读同一份用户档案？


那凭啥就不能读取到同一份用户档案？