使用Steam Buff会被盗号吗？

16天前更新

810

关于Steam Buff是否会盗号、是否会导致 Steam 封号，统一说明一下。

先说盗号这个事：Steam Buff不需要你的 Steam 密码，也不会保存、上传你的 Steam 账号密码。你登录Steam还是在 Steam 官方页面登录，扩展本身不会让你把 Steam 密码填到我这里。

再说封号： Steam Buff 不是steam客户端的外挂，也不是Steam客户端破解工具。Steam Buff不修改Steam安装目录里的文件，不替换steamui，不改Steam客户端二进制文件，不hook Steam.exe，也不读写Steam客户端内存。

Steam 一般封的是欺诈红、商业红、篡改Steam 客户端、、批量自动化倒卖饰品等行为。Steam Buff 的定位是页面增强和效率工具，不参与自动化倒卖饰品，不碰Steam文件，所以steam buff不会触发任何Valve的反制或者风控行为，理论上不存在导致封号情况出现。

当然，我也不想把话说成“绝对 0 风险”。任何第三方工具都建议谨慎使用，尤其 Steam 规则、页面结构、第三方接口都可能变化。大家最好只从官方仓库或官方发布渠道下载，不要从来路不明的地方下载本扩展程序，也不要在任何非 Steam 官方页面输入 Steam 密码、验证码或令牌。

Steam Buff 也会尽量保持透明、克制、可检查。能不碰敏感数据的地方就不碰，必须用到 Steam 页面登录状态的功能，也会尽量限定在用户主动操作的范围内。

如果你还是担心，可以自行查看源代码、看扩展权限、看网络请求等。

如果你不是相关从业人员，也可以按这个步骤让AI帮你分析一下Steam Buff的代码，帮你出一个分析报告。

提示词：

# Steam Buff 安全审查提示词

请对当前仓库做一次只读安全审查，判断 Steam Buff 是否存在盗取 Steam 账号、密码、Cookie、登录状态，或导致 Steam 风控/封号的高风险行为。

不要只看 README，请重点审查 manifest.json、background、content scripts、Steam/Store/Community 注入脚本、设置页、网络请求和日志相关代码。

## 重要判定规则
- **本审查只判断 Steam 账号、Steam 密码、Steam Cookie、Steam 登录状态、Steam 库存/交易权限相关风险。**
- **不要把 Steam Buff 自身账号系统的 access_token / refresh_token 计入 Steam Cookie 或 Steam 登录凭据。**
- **不要把第三方 API key、AI 服务 key、Steam Buff 后端 Authorization 计入 Steam 账号凭据。**


## 请重点检查
### 1. 扩展权限
- 是否有 chrome.cookies、nativeMessaging、debugger、webRequest、tabs、本地文件读取、本地命令执行等高风险权限。
- Steam 域名权限是否与功能匹配，是否明显过度授权。

### 2. 账号密码
- 是否读取 input[type=password]、账号输入框、验证码、Steam Guard 字段。
- 是否监听 input、keydown、change、submit、formdata 等事件采集登录表单。
- 是否把账号、密码、验证码、Steam Guard 保存到 storage 或发送到远程服务器。

### 3. Cookie / 登录状态
- 是否读取 document.cookie 或使用 chrome.cookies。
- 是否读取 sessionid、steamLoginSecure、steamMachineAuth、steamCountry 等 Steam Cookie。
- 读取这些信息的用途是什么，是否发送到非 Steam 域名。

### 4. 网络外传
- 检查 fetch、XMLHttpRequest、sendBeacon、WebSocket、chrome.runtime.sendMessage、后台请求代理。
- 列出非 Steam 官方域名请求。
- 检查请求体、请求头、日志、诊断导出里是否包含 Steam 密码、Cookie、sessionid、Authorization、access_token、refresh_token 等敏感信息。
- 检查敏感字段是否有脱敏处理。

### 5. 本地凭据
- 是否尝试读取 Steam 安装目录、浏览器 Cookie 数据库、浏览器密码库、本机配置文件。
- 是否通过脚本、exe、bat、PowerShell、nativeMessaging 等方式读取或上传本机敏感数据。

### 6. 封号 / 风控相关
- 是否修改 Steam 安装目录、替换 steamui、修改 Steam.exe / Steam 客户端二进制文件。
- 是否 hook Steam.exe、读写 Steam 客户端内存、注入游戏进程、修改游戏文件、绕过 VAC。
- 是否存在后台自动交易、自动出售库存、自动发送报价、绕过手机令牌确认、批量自动化倒卖饰品等行为。

## 输出格式

### 结论
- 是否发现读取 Steam 账号密码：是/否/不确定，如有请单独说明用途
- 是否发现上传 Steam 账号密码：是/否/不确定，如有请单独说明用途
- 是否发现读取 Steam Cookie 或 Steam 登录状态：是/否/不确定，如有请单独说明用途
- 是否发现上传 Steam Cookie 或 Steam 登录凭据：是/否/不确定，如有请单独说明用途
- 是否发现读取本地 Steam / 浏览器凭据：是/否/不确定，如有请单独说明用途
- 是否发现可能导致 Steam 风控/封号的明显行为：是/否/不确定，如有请单独说明用途
- 是否发现读取或上传 Steam Buff 自身账号 token：是/否/不确定，如有请单独说明用途
- 是否存在伪造 Steam 登录页面、仿钓鱼表单窃取账号的行为：是 / 否 / 不确定，如有请单独说明用途


### 风险等级
低 / 中 / 高 / 无法判断，并说明理由。

### 关键证据
请列出具体文件路径、相关代码位置和判断原因。不要只写“看起来安全”。

### 发现的问题
如果有风险，请说明读取了什么、发往哪里、是否需要用户主动触发、最坏影响是什么。

### 普通用户版结论
最后用 300 字以内写一段小白用户也能看懂的结论，禁止夸大，也不要承诺“绝对 0 风险”。

使用方法：

1.访问Steam Buff 的 gitee 仓库：https://gitee.com/sys1em/Steam_Buff

2.点击页面右上角的【Ai助手】图表