谷歌浏览器无法安装未上架CRX扩展，因v33起强制执行三重校验：签名链缺失、update_url非官方、_metadata文件夹触发拦截；开发者模式仅开放入口，不绕过校验。
为什么谷歌浏览器无法安装未在应用商店上架的CRX扩展
当你把下载好的Tampermonkey.crx或AdGuard.crx拖进chrome://extensions/页面，却看到红色警告“此扩展程序未列在 Chrome 网上应用店中，并可能损害您的计算机”，这不是文件损坏或网络问题，而是Chrome从v33起就内置的强制安全拦截机制在起作用——它拒绝加载任何未经Google私钥签名、且update_url不指向官方更新服务器的扩展包。
核心原因：三重校验全部失败
Chrome在解析CRX文件时会同步执行三项不可绕过的检查：
第一项是签名链校验：CRX3格式要求头部包含由Google根CA签发的PKCS#7签名块（crx_signature_block），本地打包的CRX文件天然缺失该结构，直接触发CRX_REQUIRED_PROOF_MISSING错误；
第二项是来源域验证：manifest.json中必须存在"update_url": "https://clients2.google.com/service/update2/crx"，且该URL需能回溯到Google证书链，手工修改无效，因为签名已失效；
第三项是包完整性核对：解压后若发现_metadata文件夹，Chrome会立即终止加载并报错“Cannot load extension with file or directory name _metadata”，这是v120+版本新增的硬性过滤规则。
启用开发者模式只是打开门，不是解除锁
很多人误以为开启chrome://extensions/右上角的“开发者模式”就能安装任意CRX——其实它只解锁“加载已解压的扩展程序”按钮和允许拖拽动作，但底层校验逻辑仍全程运行。没有这一步，后续所有操作都无入口；有了这一步，CRX文件依然会被拒绝，除非你绕过校验路径。
这就像给保险柜装了指纹锁后又加了一把钥匙孔——打开钥匙孔（开发者模式）只是让你能插进钥匙，但指纹识别（签名/来源/元数据校验）不过，柜子照样打不开。
四种可行的绕过路径
方法一：重命名ZIP后拖拽（轻量级应急）
将adguard.crx直接改名为adguard.zip→确保chrome://extensions/已开开发者模式→拖入页面中央→点击【添加扩展程序】。这招能跳过CRX_HEADER_INVALID，因为浏览器此时按通用归档解析，不走扩展签名流程。
方法二：解压后加载文件夹（主力推荐）
第一步：把插件文件（如ublock.crx）后缀改为.zip；
第二步：用7-Zip完整解压到纯英文路径文件夹（例如C:\ext\ublock），路径中不能含中文、空格或括号；
第三步：进chrome://extensions/→点“加载已解压的扩展程序”→精准选中整个ublock文件夹（不是里面某个js文件）→确认。
方法三：修正_metadata为metadata（解决加载失败关键）
若第二步加载时报错“Cannot load extension..._metadata”，立刻进入解压后的文件夹→找到名为_metadata的子目录→右键重命名为metadata（大小写必须全小写，下划线必须去掉）→返回扩展页点【重新加载】→再执行加载操作。
方法四：添加启动参数临时放行（仅限单次调试）
关闭所有Chrome进程（包括后台GPU Process）→右键Chrome快捷方式→属性→目标栏末尾加空格后粘贴--enable-easy-off-store-extension-install→确定→双击该快捷方式启动→此时拖CRX文件会弹出正常确认框。
