内容摘要：火狐装hackbar这事儿，真没你想的那么复杂，但也没那么简单。 先泼盆冷水。你在网上搜“hackbar firefox”，大概率会撞见一堆过时教程，教你装旧版hackbar的xpi文件。结果点进去，

火狐装hackbar这事儿，火狐真没你想的安装那么复杂，但也没那么简单。火狐

先泼盆冷水。安装你在网上搜“hackbar firefox”，火狐大概率会撞见一堆过时教程，安装教你装旧版hackbar的火狐xpi文件。结果点进去，安装火狐直接弹窗提示“此附加组件已损坏”或者“无法验证”。火狐别骂火狐，安装这锅它不背——火狐从57版本开始全面转向WebExtensions架构，火狐老式hackbar那种基于XUL的安装扩展彻底废了。你要是火狐还攥着2016年的hackbar 1.6.1安装包，趁早删了。安装

现在的火狐正确路子是装第三方移植版，或者用网页版替代品。我最常用的是GitHub上那个开源项目“hackbar-for-firefox”，作者把功能复刻成了WebExtension格式。操作流程就三步：去GitHub仓库页面，找到“Releases”标签页，下载最新的.xpi文件。然后打开火狐，地址栏输入about:debugging，点“此Firefox”，再点“临时载入附加组件”，选你刚下的那个xpi。完事。

但注意，临时载入意味着每次重启火狐都得重新加载一遍。烦不烦？烦。可这是火狐官方对未签名扩展的硬性限制，没辙。你要是想一劳永逸，得去AMO（Mozilla附加组件商店）找签名版，但hackbar这种渗透测试工具，官方审核基本不会过——你懂的，这玩意儿能改请求头、能post数据，指纹太“黑客”了。所以，要么忍着重启重载，要么去火狐开发者版（Firefox Developer Edition）里把xpinstall.signatures.required设为false，绕过签名校验，但这招在普通版火狐上已经封死了。

装上之后，你按F12打开开发者工具，侧边栏会多出一个“HackBar”标签。界面跟老版很像：下方一排按钮，Get、Post、Split、Execute，还有一个大文本框让你手动拼HTTP请求。我实测过，改Cookie、注入XSS payload、测SQL报错，都顺手。但有个坑——它对中文URL编码支持一般，有时候你复制一个带中文参数的请求进去，它会显示乱码，你得手动转成%格式。这点不如Burp Suite来得智能。

还有个替代方案，如果你嫌本地扩展麻烦，直接用在线版hackbar，比如“Hackbar Online”那种网页工具。但说实话，在线工具没法直接抓取浏览器当前请求，你得自己复制URL和header粘贴进去，效率低一半。我自己的习惯是：本地装hackbar-for-firefox做日常快速测试，重活累活交给Burp Suite。两个工具不冲突，一个轻量一个重型，配合着来。

最后说个真实翻车经历。我第一次装完，兴冲冲对着本地测试站点发了个POST请求，结果页面一直转圈，控制台报错“CORS policy blocked”。我当时没反应过来，以为是hackbar坏了，折腾半天才发现是火狐的跨域限制——hackbar发请求是从当前页面发起的，目标域名跟当前页面不一致时会被浏览器拦。解决办法也简单：在hackbar的选项里勾选“Disable CORS”，或者干脆在about:config里把security.fileuri.strict_origin_policy改掉。这细节教程里没人提，你记住了，能省半小时。

工具本身不复杂，复杂的是火狐对这类“非主流”扩展的种种限制。装一次，你就明白什么叫“浏览器厂商教你做人”。但换个角度想，这种限制也逼着你理解了扩展的权限模型——比死记API文档管用多了。