怎么在谷歌浏览器中保留指定旧版扩展并阻止升级？

功能定位：为什么“锁版本”越来越刚需

2026 年 Chrome 127 全面收紧 Manifest V3，部分老牌扩展（如内网抓包、私有协议调试）因不再维护而被迫下架。官方商店一旦移除，浏览器会在下次启动时自动卸载；即便本地仍存 CRX，后台更新机制也会强行升级到空白包。对依赖固定 API 的企业工具链来说，“保留指定旧版扩展并阻止升级”已从“洁癖”变成“生存”问题。

与 Edge 的“扩展离线”按钮不同，谷歌浏览器没有图形化“禁止更新”开关，必须依赖策略文件或启动参数。理解两条核心逻辑：① Chrome 以更新 URL（update_url）字段判断扩展有无新版本；② 只要该字段指向一个永远返回 204的地址，浏览器就认为“已是最新”，从而跳过真实升级。下文所有方案都围绕“让扩展找不到更新”展开。

方案对比：三条路线怎么选

1. 企业策略模板（Windows/macOS/Linux）

适用场景：公司 VDI、学校机房、呼叫中心≥50 终端，需 IT 统一锁版本。优点：一次下发，终身生效；缺点：需管理员权限，家庭版 Win11 无法直接加载 ADMX。

2. 本地 JSON 策略（单用户无域控）

适用场景：个人开发机、MacBook 只自己用。优点：不依赖域控，随时回滚；缺点：手动维护，重装系统会丢失。

3. 启动参数 + CRX 备份（应急兜底）

适用场景：临时演示电脑、酒店前台插 U 盘即用。优点：零写入系统目录；缺点：图标右键“从 Chrome 商店移除”按钮仍在，勿手痒点击。

决策树：30 秒判断你该用哪一招

提问 1：电脑归公司还是归个人？

→ 公司：走方案 1；个人：继续提问 2。

提问 2：是否拥有本机管理员账号？

→ 是：方案 1 或 2 任选；否：只能方案 3。

提问 3：扩展是否超过 10 个且经常换？

→ 是：建议方案 1，批量维护省力；否：方案 2 足够。

操作路径 A：企业策略模板（ADMX）

步骤 1 获取模板

访问 https://support.google.com/chrome/a/answer/187202 下载“Google Update ADMX + ADML”与“Chrome ADMX”两个压缩包。解压后把 admx 文件丢进 C:\Windows\PolicyDefinitions，adml 丢进对应语言子目录。

步骤 2 新建 GPO

Win+R → gpedit.msc → 计算机配置 → 管理模板 → Google → Google Chrome → 扩展程序。双击“配置扩展程序安装黑名单”，选择“已禁用”（注意：禁用黑名单=允许任何扩展）。再打开“配置扩展程序安装白名单”，把需要锁版本的扩展 ID 写进去，一行一个。

步骤 3 重写更新地址

继续在同一节点找到“配置扩展程序强制安装列表”，点击“显示”→ 输入 extension_id;https://localhost/no-update。localhost 地址需提前在 IIS 或 Nginx 返回 204 No Content，浏览器拿到 204 即认为无更新。若不想自建，可用公开空地址 https://clients2.google.com/service/update2/crx?fake=1，经验性观察同样返回 204。

步骤 4 验证

Chrome 地址栏输入 chrome://policy → 重新加载策略，看到 ExtensionInstallForcelist 与 ExtensionUpdateUrl 均显示绿色“OK”即成功。随后访问 chrome://extensions，打开“开发者模式”，旧版扩展的“背景页”行应出现 update_url=https://localhost/no-update。

操作路径 B：本地 JSON 策略（无域控）

Windows 单用户

关闭全部 Chrome 窗口。
资源管理器进入 %LOCALAPPDATA%\Google\Chrome\User Data。
新建文件夹 Policies，再建子文件夹 Chrome。
新建文件 chrome.json，内容如下：

{
  "ExtensionSettings": {
    "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa": {
      "installation_mode": "force_installed",
      "update_url": "https://localhost/no-update",
      "version": "1.2.3"
    }
  }
}

把 aaaaaaaa... 换成真实扩展 ID，version 写死旧版号。保存后重启 Chrome，在 chrome://extensions 应看到“由贵组织安装”提示，且更新按钮灰色。

macOS 单用户

Finder → ⌘+Shift+G → ~/Library/Application Support/Google/Chrome → 新建 Policies/Chrome/chrome.json，格式同上。若提示“无法保存”，可先用 touch chrome.json 创建空文件，再写入内容。

Linux 单用户

路径：$HOME/.config/google-chrome/Policies/Chrome/chrome.json。其余步骤与 Windows 一致。注意 Snap 版 Chrome 的沙箱可能阻止读取 /etc/chrome，优先用用户级 JSON。

操作路径 C：启动参数 + CRX 备份（应急）

步骤 1 下载旧版 CRX

访问 https://crxdown.com 输入扩展 ID，选择历史版本。保存到 U 盘 D:\legacy\ext.crx。

步骤 2 创建启动脚本

chrome.exe --disable-background-networking --disable-extensions-http-throttling --extensions-update-frequency=86400 --load-extension="D:\legacy\ext"

参数说明：前两条临时禁止任何后台联网检查；第三条把更新周期拉到 24 小时；第四条直接加载解压后的扩展文件夹（也可保持 CRX 格式，但需额外加 --extension-content-verification=bootstrap）。

步骤 3 把脚本固定到任务栏

右键 Chrome 快捷方式→属性→目标，把整行命令贴进去。注意：一旦通过商店页面点“更新”，策略即失效，因此演示前务必隐藏商店图标（可用 --disable-default-apps）。

例外与取舍：什么时候不该锁死

安全敏感扩展（密码管理、网银助手）：锁版本等于放弃漏洞补丁，经验性观察 6 个月后高危 CVE 出现概率显著上升。
强依赖 Chrome API 演进（如 WebGPU 调试插件）：新版浏览器一旦移除旧 API，扩展直接崩溃，锁版本反而无法启动。
合规审计场景：SOX/ISO27001 要求“所有软件必须可更新”，锁版本需走例外审批，并留存扩展源码以备审计。

工作假设验证

若你仍坚持锁死，建议每季度把扩展 ID 丢进 CVE 数据库检索一次，无新增漏洞再继续使用。

与第三方更新服务器协同（可选）

部分企业已有 WSUS 或 JFrog Artifactory，可把 CRX 文件托管在内部仓库，让 update_url 指向 https://repo.corp.com/chrome/ext/updates.xml。XML 格式遵循 Chrome Update Protocol，只要版本号写死，浏览器便永远停在旧版。好处：安全团队可扫描 CRX 后再上架；坏处：需维护签名证书，且 XML 字段写错一个字母就会导致“更新检查失败”横幅。

故障排查：扩展仍自动升级怎么办

现象	最可能原因	验证方法	处置
chrome://policy 看不到 ExtensionSettings	JSON 文件编码非 UTF-8	Notepad++→编码→以 UTF-8 无 BOM 保存	重新启动 Chrome
提示“由贵组织安装”但版本号仍变	update_url 返回 200 而非 204	curl -I https://localhost/no-update	改 Nginx 配置：return 204;
Linux Snap 版策略不生效	沙箱阻止读取 /etc/chrome	snap connections chrome	改用用户级 JSON 路径

适用/不适用场景清单

不建议锁版本

面向消费者的电商插件
含 Widevine 的流媒体扩展
需每周跟随浏览器 Canary 联调的开发者工具

最佳实践 10 条速查表

先给扩展 ID 建台账，附责任人邮箱，方便漏洞应急。
CRX 下载后立刻算 SHA256 并写进 JSON，防止被篡改。
update_url 域名用内部短域名，减少 DNS 劫持面。
每季度复查一次 chrome://flags/#extension-content-verification，谷歌可能改默认策略。
锁版本≠不备份，Git 仓库存 CRX 与 policy 文件双副本。
Mac 版若用 MDM，优先走 Configuration Profile，别和用户 JSON 混用，会冲突。
Linux 多用户机器，把策略放 /etc/opt/chrome/policies/managed/ 确保对所有用户生效。
展会临时方案用完即删，避免观众拷走带漏洞的旧扩展。
扩展图标右键“从商店移除”按钮可通过 --disable-default-apps 隐藏，减少误触。
写 SOP：升级浏览器大版本前，先在测试通道验证旧扩展是否仍兼容。

FAQ：常被追问的 5 个问题

锁版本后扩展图标消失怎么办？

大概率是新版浏览器不再识别 Manifest V2，只能回退 Chrome 大版本或寻找替代扩展。验证：用 --enable-deprecated-mv2 临时启动，图标恢复即确认原因。

安卓版 Chrome 能锁扩展吗？

不能。Android 的 Chrome 扩展通过 Kiwi、Yandex 等第三方实现，无策略接口；建议改用 PWA 或自建内核套壳 App。

update_url 填 data:text/plain, 行不行？

经验性观察会报“无效 URL”错误，浏览器回退到默认商店地址，导致升级。请用真实可访问 204 地址。

CRX 文件太大，Git 推送失败？

用 Git LFS 或在企业内部 Artifactory 存二进制，policy 里只保留下载 URL 与校验值。

Chrome 128 会彻底移除 MV2 吗？

截至当前的最新版本（127）官方仅禁用新提交 MV2 扩展，旧扩展仍可在企业策略白名单运行。未来动向请关注 Chrome Status 路线图，本文不预测版本号。

收尾：一句话总结与下一步行动

谷歌浏览器保留旧版扩展并阻止升级的核心，就是让扩展找不到更新地址：企业用 ADMX 最稳，个人用 JSON 最快，应急用启动参数最灵活。立刻打开 chrome://extensions 抄下你要保命的扩展 ID，选一条路线 10 分钟搞定，再每季度复查 CVE——这样既能守住旧功能，也不给安全团队埋雷。

未来 1–2 个 Chrome 大版本可能进一步收窄 MV2 白名单，建议提前在测试环境验证替代方案；若业务必须依赖旧接口，可把扩展源码纳入内部维护队列，以便随时重新打包签名，迎接下一次浏览器升级。