chrome扩展需双重配置才能精准限域运行：先在chrome://extensions/中设置站点白名单，再检查并修改manifest.json的matches字段为精确域名列表，否则仍可能绕过限制。
你想让某个Chrome扩展只在公司内部系统、GitHub代码页或特定测试环境里生效，避免它在购物网站或社交媒体上偷偷运行、拖慢页面、泄露数据——这种精准控制必须通过双重配置实现：既要在浏览器界面设置白名单，也要检查扩展自身的代码声明是否匹配。
在chrome://extensions/中设置站点白名单
这一步直接决定扩展图标是否显示、后台脚本是否加载、内容脚本是否注入，是用户可操作的第一道防线。
1、在地址栏输入 chrome://extensions/ 并按回车，进入扩展管理页。
2、找到你要限制的目标扩展，点击其下方的“详细信息”按钮。
3、向下滚动到“站点访问权限”区域，点击“在特定网站上运行”选项。
4、删除默认存在的“在所有网站上运行”这一行（不删掉它，白名单就形同虚设）。
5、在下方输入框中逐行添加允许的域名，例如：
https://intranet.company.com/*
https://*.github.com/*
https://staging-api.example.org/*
注意：每行必须以 https:// 或 http:// 开头，结尾加 /* 表示匹配该域下所有路径；不带协议头的域名会被忽略。
检查并修改扩展的manifest.json文件
即使你在界面设置了白名单，如果扩展包里的 manifest.json 仍声明了宽泛匹配规则，它可能绕过前端限制，在不该出现的地方强行注入脚本——这是很多“看似已限制却仍在乱跑”的根本原因。
方法一：通过开发者模式查看并确认
1、在 chrome://extensions/ 页面右上角开启“开发者模式”。
2、找到目标扩展，点击“背景页面”或“查看视图”链接（部分扩展显示为“服务工作者”）。
若看不到这些链接，说明该扩展未声明 background 或 service_worker 字段，跳过此步。
3、在打开的开发者工具中，切换到“Application” → “Manifest”，查看 content_scripts → matches 字段值。
方法二：手动解压修改（仅适用于你拥有源码或可编辑的本地扩展）
1、将扩展文件夹解压（如从 .crx 改后缀解压，或从 Chrome 扩展目录复制出来）。
2、用文本编辑器打开 manifest.json，定位到 "content_scripts" 数组中对应脚本的配置块。
3、把原来的 "matches": ["*://*/*"] 或 "matches": ["
"matches": [
"https://intranet.company.com/*",
"https://*.github.com/*"
]
4、保存文件，回到 chrome://extensions/，点击“重新加载”按钮（需先启用开发者模式）。
⚠️ 这一步不可跳过：若 matches 中仍含通配符，扩展会在所有页面执行 DOM 操作，哪怕界面白名单已关闭——浏览器只管“是否允许加载”，不管“加载后干了什么”。
验证是否真正生效
第一步：打开一个被禁止的网站（比如 https://taobao.com），确认扩展图标不显示、右键菜单无相关项、F12 控制台不报扩展注入错误。
第二步：打开一个白名单内的网址（比如 https://intranet.company.com/dashboard），刷新后检查图标是否出现、功能按钮是否可用、控制台是否有扩展日志输出。
第三步：在白名单网址中打开开发者工具 → “Application” → “Service Workers”，确认注册的服务工作线程来自该扩展且状态为 “Activated”；若未注册，说明 manifest 中的 service_worker 声明路径错误或 scope 不匹配。
完成上述三步后，该扩展即严格限定在你指定的域名范围内运行。
