告别 Chrome：当浏览器不再尊重用户的选择

谷歌 Chrome 强制自动登录政策破坏用户信任，作者宣布弃用这一浏览器。

引言：这不是一篇普通的吐槽

作为密码学和网络安全领域的学者，Matthew Green 教授在个人博客上写道，他的博客主要讨论密码学内容，并且他尽量不发那些“某某错了”的互联网争论帖——毕竟那是 Twitter 的用途。但这一次，他破例了。让他写下这篇文章的是 Google Chrome，他曾经深爱过的浏览器，如今却因为一项新的强制登录政策让他决定离开。

Chrome 的美好时代：2008 年的完美计划

2008 年，Google 推出 Chrome 浏览器时，那似乎是一个“所有人都赢”的罕见时刻。整个浏览器市场被微软统治，而微软曾经有利用浏览器市场份额碾碎竞争对手的劣迹。更糟糕的是，彼时微软在搜索领域也开始蠢蠢欲动，这直接威胁到 Google 网际业务的生存。

在这样的背景下，Chrome 是一个漂亮的解决方案。即便 Chrome 无法为 Google 带来直接收入，它依然可以通过保持互联网对 Google 产品的开放来发挥作用。整个互联网社区也将收获一个由顶尖开发团队打造的优秀开源浏览器。这可能对 Mozilla 有限制（他们已经为 Chrome 付出了惨重代价），但对互联网标准而言，总体上是一件好事。

多年以来，情况确实如此。Google 确实提供了 Chrome 的可选登录功能，该功能大概率会收集用户的浏览数据并发送给 Google，但那是一个选项——你可以轻松无视它。如果你不使用该选项，Google 的隐私政策说的很清楚：你的数据会留在你的电脑上，待在它该待的地方。

转折点：一次不声不响的更新

几周前（2018年9月），Google 向 Chrome 推送了一个更新，彻底改变了登录体验。从那时起，每当你登录任何一个 Google 服务（比如 Gmail），Chrome 都会自动将浏览器登录到你的 Google 账号——这个过程不会询问你，甚至连明确的通知都没有。（不过，谷歌开发者声称：这并不会立即将你的数据同步到 Google，这一点很重要，稍后会详谈。）

你唯一能察觉的迹象是：如果你的浏览器窗口右上角出现你的 Google 头像，你才可能意识到发生了什么。Matthew 写道，他某天注意到了自己的头像出现在那里。

这个改变并非完全无声无息——它在 Hacker News 等网站上引起了热烈的讨论，但主流技术媒体完全忽略了。Matthew 认为这实在遗憾，他希望这种情况能够改变，因为这次更新对 Google 和 Chrome 的未来意义重大。

问题为什么严重：四个核心论点

Matthew 在文章中提出了四个核心论点：

1. 没人说得清逻辑：Chrome 开发团队中没有人能给出这次改变必要性的清晰解释，而他们的给出的解释根本站不住脚。
2. 隐私与信任危机：这个改变对用户隐私与信任有巨大影响，Google 似乎无法正视这一点。
3. 自我打脸：这个改变把 Google 自家关于 Chrome 的隐私政策搅得一团糟。
4. 信任不是可再生资源：Google 必须停止把用户信任当作可以无限攫取的资源，因为他们正在犯下严重错误。

官方解释为何不成立

这项触发自动登录的新功能的内部名称叫“浏览器和 Cookie 罐之间的身份一致性”（Identity consistency between browser and cookie jar）。

Matthew 与两位 Chrome 开发者在 Twitter 上对话（他们希望匿名），得到的解释是这样的：想象一下你已经登录了 Chrome，你的朋友也在用你的电脑访问 Google 服务，那么有可能会发生这样的情况：你朋友的 Google cookie 被意外地上传到你的账号中。因此，为了避免这种现象，Chrome 需要自动将浏览器登录到用户的账号。

这听起来似乎合理，但你注意到了吗？——这个场景的前提是你已经登录了 Chrome。这个问题从来不会影响那些选择不登录浏览器的用户。那么，如果问题只出在已登录用户身上，为什么你要强制未登录用户也变成已登录状态？

Matthew 讽刺地写道：

“我可以写更多的话来探讨这种问题与修补方案之间的不匹配，但我不打算这么做——因为 Chrome 团队公开对外的人员中，无一人能给出一个说得通的解释以解开这个悖论。”

而这种矛盾之所以重要，是因为无论是否有数据同步，这件事都涉及根本的信任问题。

“没有同步就好吗？”—— Chrome 团队的辩护并不成立

Chrome 团队只有一个辩护词：浏览器登录不等于数据上传。他们说，虽然 Chrome 现在会在你登录 Gmail 时自动登录你的 Google 账号（未经你同意），但并不会自动启动“同步”（sync）——即将你的浏览数据发送到 Google——这项操作依然需要你额外点击确认。因此，“理论上”，你的数据仍保留在本地。

Matthew 指出，这完全站不住脚，理由至少有以下三方面：

1. 用户同意不是一次性商品

十年了。Chrome 只问了我一个问题：你想要用你的 Google 账号登录吗？十年来我的答案都是“不要”。现在呢？Chrome 依然在问我这个问题——可它已经不再尊重我的回答。

Chrome 的开发者想要说服我：这挺好，因为（呼！）你还有一层确认机制保护着呢。

问题明摆着：如果你们连 Chrome 里最显眼的隐私选项都不尊重我的拒绝，甚至根本不通知我你们不再尊重这件事——那我为什么要相信你们其他的选项？ 你们凭什么不会在几个月后，当我们都放松警惕时，又悄悄改变这个选择？

事实是，Matthew 说他此前从未听说过 Chrome 的“同步”选项，原因很简单：直到 2018 年 9 月之前，他从未登录过 Chrome。现在他被迫学习这些新条款，还得指望 Chrome 团队能在“已登录”与“未登录”之间的界限不断模糊的过程中，继续信守数据留在本地的承诺。

2. 同步界面是个“暗黑模式”

Matthew 被迫登录后，看到了一个从未见过的新菜单：

上面那个显眼的大蓝按钮到底是提示“你已经在同步数据了”？还是“请点击开始同步”？要是误点了会怎样？

（Matthew 故意不给出答案，建议读者自己去试验——但前提是“确保你不会意外上传全部数据，因为这一切发生得非常快”。）

简而言之，Google 把数据上传的“同意”从一种主动的、必须输入账号密码、有意识的行为，变成了一次无意识的点击就能触发的操作。这就是典型的“暗黑模式”（dark pattern）。

不论是有意还是无意，这种界面设计都在促使人们：

• 在不知情的情况下激活数据同步；
• 或者误以为自己已经开启了同步，从而认为“反正数据已经给了谷歌，再多一点也不算什么”。

3. 连前 Google 员工都觉得脊背发凉

Matthew 提醒读者，这并非他一个人的偏执——连前 Google 员工都对这一改动感到十分不安。那些我们只敢告诉浏览器的秘密，甚至是我们最亲的朋友都不敢透露的隐私，正在被一步一步地卷入自动收集的漩涡中。

结语与后续

文章中 Matthew 提醒大家注意此次事件的长远意义。浏览器是数字世界的大门——是你与网络身份的交汇点，是你访问一切的入口，甚至是你思想的延伸。一个浏览器厂商如果为了自己的商业利益，连用户最基础的知情权和选择权都可以悄然剥夺，那它还有什么不能做？

“Google 需要明白一件事：用户信任不是可再生资源，它丧失了就真的失去了。”

在后续的讨论中（Hacker News 上有 838 条评论），这一话题激发了技术界广泛的反响和持续的吐槽。由于舆论压力，Google 后来在 2020 年 6 月发布的一篇文章中部分承认了这一设计的问题，并在随后的版本中做出了一些微调，试图更好地平衡登录与同步之间的界限和透明度。

但无论如何，那一刻的信任裂隙已经刻下。 技术的选择，归根结底是对用户的尊重；而这种尊重，可以通过一次鸡毛蒜皮的“小小的更新”被轻易抹去，要重建却难上加难。

参考

• 原文章链接：Why I’m done with Chrome