当然 有问题的不是这个组件，
而是微软，因为微软商店的是审核不严上架的李鬼版本。
这个开发者还曾在哔哩哔哩助手扩展程序里添加恶意代码，不过在四月份的时候已经被人发现及时删除。
恶意脚本包含get、set、clear、_0，分别用于获取、设置、清除和指定Cookie的默认路径。
然后，j判断当前网址是否匹配类似re.jd.com/cps/item/\d+.html的模式，如果是，则隐藏了页面上的一个链接，并跳转或替换到该链接的地址，或者跳转或替换到item.jd.com/\d+.html的地址。
他用location.replace(tar.href)方法将当前网页替换为tar元素的href属性值。
这个方法不会在浏览器历史记录中留下当前网页的记录。
它似乎是在尝试修改用户的cookie，以便在用户访问一些网站时，攻击者可以获得一些利益，比如返利或者佣金。
天猫、京东，甚至还有oppo商城，不过主要的目标似乎是京东
