Violentmonkey 管理脚本，但不替脚本背书
用户脚本可以改页面样式、增加按钮、抓取信息或自动填写操作，权限常常覆盖匹配网站中的全部内容。Violentmonkey 负责安装、运行和更新，并不会证明某个第三方脚本安全。真正的风险取决于脚本来源、匹配范围和外部依赖。
我会先安装功能单一、代码可读且近期仍维护的脚本，查看 metadata 中的 @match、@grant、@require 和更新地址。脚本如果要求所有网站权限，却只宣称修改一个页面，就应停下来检查。
安装用户脚本前完成最小安全检查
热门下载量只能说明使用者多，不能代替代码审查。至少确认脚本运行范围和最近更新内容，再决定是否启用。
- 把 @match 限制在真正需要的网站；
- 检查是否加载陌生远程脚本或动态代码；
- 关闭没有必要的剪贴板、下载和网络权限；
- 更新后查看变更，再在非敏感页面测试。
同步适合自己的脚本，不适合传播密钥
Violentmonkey 支持通过 WebDAV、Dropbox、OneDrive 等服务同步脚本和设置，方便多浏览器使用。脚本里不要硬编码账号、Cookie、API 密钥或内网地址，因为同步和导出都可能把这些内容带到其他设备。
自己维护的脚本最好放在私有版本库或独立备份中，保留变更历史。浏览器配置损坏时，仅依赖扩展内部数据并不稳妥。导出前也要检查是否包含网站规则和个人信息。
脚本失效时先看页面变化与执行时机
网站改版、CSP、异步加载和浏览器扩展规范变化都可能让旧脚本失效。先看开发者工具错误和脚本运行日志，确认选择器与执行时机，不要为了恢复功能不断扩大权限。Chrome 版已迁移 Manifest V3，旧教程中的权限行为可能不同。
网银、后台和账号安全页面尽量不运行非必要脚本。需要临时测试时可建立独立浏览器配置。Violentmonkey 很适合可控地增强网页，但长期可靠来自少装、看懂和维护，而不是积累几百个从未检查的脚本。
