打开一个后台管理页面，地址栏右边弹出一行灰色小字：“360web雷达检测到当前页面存在弱口令风险”。这不是浏览器插件，也不是杀毒软件的弹窗，而是360把一套Web安全扫描能力直接嵌进了浏览器渲染层。换句话说，你访问的每一个页面，在DOM树构建完成的那一刻，就已经被"体检"过一遍了。

我最早注意到这东西是去年帮朋友排查一个后台泄露。他那套CMS用的是默认admin/admin，页面本身没有任何异常提示，但浏览器右上角一直挂着个不起眼的盾牌图标。点开一看，360web雷达已经把登录框的POST接口、参数名、甚至服务端返回的Server头都列了出来，还标红了一行：“检测到敏感路径 /admin/config.php 可直接访问”。朋友当场愣住——他装了个安全插件，结果真正发现问题的是浏览器自带的东西。

它到底在扫什么

360web雷达的核心逻辑不复杂。浏览器在加载页面时，会触发一系列钩子：DOMContentLoaded、XHR完成、表单提交前。雷达在这些节点上抓取页面结构、JS变量、网络请求和响应头，然后跑一套本地规则库。规则库分几类：敏感信息泄露（比如JS里硬编码的API Key）、常见漏洞路径探测（/phpinfo.php、/.git/config）、弱口令表单识别、混合内容加载、CORS配置错误。

和传统扫描器最大的区别在于——它不发包。所有判断基于浏览器已经拿到的数据，所以不会对目标服务器产生额外请求。这意味着你访问一个页面，雷达只分析你本来就会收到的内容。对普通用户来说，这几乎零成本；对安全测试人员来说，它更像一个"被动侦察"工具，而不是主动扫描器。

实际用起来什么感觉

我拿它测过几个自己搭的靶场。DVWA的low级别下，雷达能识别出SQL注入点吗？不能直接识别，但它会提示“表单参数未做编码处理”和“响应中包含数据库错误信息”。这其实更接近真实场景——浏览器端能看到的线索就这么多，剩下的靠人判断。

有个细节挺有意思。某次访问一个用Vue写的SPA后台，雷达在控制台输出了十几条“路由未鉴权”的警告。原因是它监测到前端路由跳转时没有触发任何权限校验请求。这个判断不一定准——有些权限校验在服务端做，前端确实不需要额外请求——但它至少提醒你：这个页面的前端逻辑里，权限控制是缺失的。

误报也有。一个纯静态博客，雷达提示“检测到疑似后台入口 /wp-login.php”。可那博客压根没用WordPress，只是主题作者留了个兼容文件。这种误报来自规则库的通用匹配，不算致命，但看多了会麻木。

谁适合用它

普通用户不用管它。你正常上网，它安静待着，有风险才冒泡。但如果你做运维、渗透测试、或者自己写Web应用，这东西值得开着。它不能替代Burp Suite或AWVS，但能帮你快速筛一遍：这个站有没有明显的低级问题？JS里有没有漏出来的密钥？表单是不是裸奔？

我现在的习惯是，访问任何不熟悉的后台或API文档页，先看雷达图标。它标红的东西，八成有问题。标黄的东西，挑着看。没标东西，也不代表安全——只是浏览器层面看不出毛病而已。

360这家公司做安全起家，把雷达塞进浏览器算是顺理成章。但它的价值不在于“360”这个牌子，而在于把安全检测的入口从“装插件、配代理、跑扫描”压缩到了“打开页面”这一个动作。门槛低到几乎不存在，这本身就是件挺狠的事。