packages/extension/permissions-explanation.md
本文档详细解释了提示词优化器Chrome扩展请求的各项权限及其用途，帮助您了解我们为何需要这些权限以及它们如何用于提供服务。
提示词优化器的主要目的是：优化用户的AI提示词，以获得更精准、高质量的AI回复。
本扩展请求的所有权限都直接服务于这一单一核心目的：
这些权限对于实现扩展的主要功能至关重要，没有这些权限，扩展将无法执行其核心功能。同时，我们严格遵循最小权限原则，仅请求完成核心任务所必需的权限，不收集任何与此核心功能无关的数据。
storage)用途：
重要说明：
tabs)用途：
重要说明：
host_permissions)https://api.openai.com/*)用途：
https://generativelanguage.googleapis.com/*)用途：
https://api.deepseek.com/*)用途：
https://api.siliconflow.cn/*)用途：
重要说明：
虽然扩展在manifest中只预先声明了OpenAI、Google Gemini和DeepSeek的API域名权限，但您仍然可以使用自定义API。这是因为：
内容安全策略的工作方式：Chrome扩展的内容安全策略允许扩展在运行时连接到用户明确授权的域名，即使这些域名没有在manifest中预先声明。
如何使用自定义API：
首次连接授权：
安全考虑：
适用场景：
这种设计既保证了扩展的灵活性，允许您连接到任何需要的API服务，同时也维护了Chrome扩展的安全模型，确保所有连接都是经过您明确授权的。
Chrome浏览器的安全机制要求扩展明确声明它需要访问的外部域名。这是一项重要的安全功能，称为"内容安全策略"(Content Security Policy)，它限制扩展只能与预先声明的域名通信，防止恶意扩展向未授权的服务器发送数据。
直接API调用的必要条件：
精确的最小权限原则：
透明的数据流向：
安全性考虑：
https://api.openai.com/*）允许访问该域名下的所有路径如果我们不请求这些特定API域名的访问权限：
重要的是，即使授予了这些权限：
我们遵循最小权限原则，只请求应用程序核心功能所必需的权限。这个扩展只需要：
storage 权限 - 用于本地存储您的设置和API密钥为了保护您的隐私，我们特意不请求以下权限：
history) - 我们不访问您的浏览历史<all_urls> 作为权限) - 我们不需要访问您浏览的网页内容activeTab) - 我们不需要访问您当前浏览的页面内容contextMenus) - 我们不添加右键菜单项background 作为持续运行的后台) - 我们的扩展不会在后台持续运行webRequest) - 我们不拦截或修改您的网络请求cookies) - 我们不读取或修改您的Cookie提示词优化器采用纯客户端架构，这意味着：
我们承诺：
如果您对我们的权限使用有任何疑问，请通过GitHub Issues联系我们：https://github.com/linshenkx/prompt-optimizer/issues