HTTPS Everywhere 与内置扩展——Tor Browser 里三个扩展的定位

为什么 Tor Browser 不鼓励安装额外扩展

Tor Browser 的反指纹策略根基是统一——让所有用户的浏览器呈现相同特征。每多装一个扩展：

浏览器指纹里多了一个维度（扩展名称、版本、权限）
不同用户的扩展组合各不相同 → 指纹不再统一
扩展可能主动泄漏信息（比如读窗口内容、发送遥测）
扩展本身可能有安全漏洞

Tor 项目的立场非常明确：不要在 Tor Browser 里安装任何额外扩展。

三个内置扩展的分工

扩展	职责	能否关闭	与安全级别联动
NoScript	控制 JavaScript/插件权限	不可完全关闭	✅ 完全联动
HTTPS Everywhere	强制 HTTPS 加密连接	可关闭（但不建议）	❌ 独立运行
Tor Launcher	管理 Tor 连接和电路	不可关闭	独立运行

NoScript（之前已详述）

控制 JavaScript 和插件权限，与 Tor Browser 三档安全级别深度联动：

标准：允许所有 HTTPS 网站脚本
较安全：禁用 HTTP 网站脚本，允许 HTTPS
最安全：禁用所有网站脚本

这是 Tor Browser 安全级别功能的核心载体。关于 NoScript 的详细用法参考 NoScript 扩展。

HTTPS Everywhere

它做什么

HTTPS Everywhere 会把你访问的所有 HTTP 链接自动升级为 HTTPS（如果目标网站支持的话）。

举例：你输入 http://example.com（明文 HTTP），HTTPS Everywhere 会自动改成 https://example.com。

为什么在 Tor 里重要

Tor 网络的最后一跳（出口节点 → 目标服务器）是不加密的。如果目标网站用 HTTP：

出口节点管理员能看到明文流量
网络中间设备能嗅探
任何中间人都能篡改内容

HTTPS Everywhere 让尽可能多的流量在 Tor 内部就加密了——出口节点看到的只是加密后的 URL，不是明文内容。

哪些网站需要它

现代网站绝大多数默认 HTTPS。但仍有少数老网站或特殊网站只支持 HTTP。HTTPS Everywhere 的价值就是在这些边缘场景兜底。

能被关闭吗

可以（在 about:addons 里禁用），但强烈不建议。关闭 HTTPS Everywhere 等于主动放弃这层加密保护。

为什么 Tor Browser 不直接强制 HTTPS（像 Chrome 那样）

Chrome 等现代浏览器的"强制 HTTPS"是较新的功能。Tor Browser 内置 HTTPS Everywhere 更早，覆盖更广。未来可能会统一到 Firefox 原生机制，但目前 HTTPS Everywhere 仍不可替代。

Tor Launcher

Tor Launcher 是 Tor Browser 启动流程的入口组件：

负责打开连接界面
处理网桥/可插拔传输配置
构建加密电路
管理 SOCKS 代理端口
电路构建成功后才打开 Firefox 主界面

它不是浏览器扩展，而是 Tor Browser 启动链上的独立进程。无法关闭也不应该关闭。

Tor Launcher 的日志在排查连接问题时非常有用——通过它可以看到 Tor 电路构建的每一步细节。

关于其他内置功能

Tracking Protection

Tor Browser 还有"防追踪保护"（菜单 → 隐私与安全性），但和 NoScript/HTTPS Everywhere 相比，它的保护层级更低：

主要拦截已知追踪器的请求（基于 Disconnect 的追踪器列表）
是对 NoScript 的补充，而不是替代品
默认开启，保持默认即可

不要手动改 `about:config`

Tor Browser 有数千个 about:config 设置项。除了桥接相关的（在 Tor Launcher 里改更安全），不要手动修改任何其他配置。

Tor 安全团队已经调好了所有默认值，手动调整容易破坏预配置好的保护层。常见的坑：

关了 privacy.resistFingerprinting → 反指纹设计失效
改了 network.proxy → Tor 代理被覆盖
关了 extensions.torlauncher 相关项 → 连接流程中断

扩展黑名单（Tor 项目明确不推荐的）

扩展类型	为什么不推荐
广告拦截器（AdBlock、uBlock Origin 等）	增加指纹维度；Tor Browser 的 Cookie 隔离 + NoScript 已经能屏蔽大部分追踪
密码管理器扩展	可能在 Tor Browser 里存储明文密码；建议用独立密码管理器应用
暗色主题/外观扩展	增加指纹唯一性；Tor Browser 统一外观也是反指纹的一部分
语言包	改变浏览器 UI 语言也会增加指纹维度
抓包/开发工具扩展	可能捕获 Tor 网络流量、调试 SOCKS 代理