ColibotAI

嗨 Product Hunt 👋 我是来自 WebWakeUp 的 Edoardo。

ColibotAI 最初只是一个简单的「划词翻译」浏览器扩展。用户们都挺喜欢它，但在底层，代码已经变得让我没法安心发布了。所以这次 0.8 版本我们没有打补丁，而是彻底从零重写了一遍。下面我就坦诚说说为什么要这么做。

旧版本到底出了什么问题

🔑 API 密钥存储在 chrome.storage.sync 中——也就是会同步到你的 Google 账号。虽然也加了「加密」模块，但那些代码根本没在运行（而且在 service worker 里本身就坏了）。

🐛 它用正则表达式对 AI 提示词本身做了「清理」，还悄悄把提示词给搞坏了。

🐦 通过在每个页面监听 mousemove 事件，让一个小蜂鸟图标一直跟着你的光标。

📦 即使扩展关闭，也会在每个 HTTPS 页面注入大约 15 个内容脚本 + 3 个样式表——而且切换扩展开关还会重新加载所有标签页。

🧱 没有类型定义，没有打包工具，没有测试，模型是硬编码的，还限制了最多 500 token。

它确实能用，但代码脆弱、存在隐私泄露，而且迭代起来非常慢。

我们做了哪些重构

我们基于现代技术栈和隐私优先架构重新构建了 ColibotAI：

WXT + TypeScript + Vite（清单 V3）。WXT 提供基于文件的入口点、自动生成 MV3 清单、带类型的消息/存储，最重要的是——现在页面内 UI 运行在隔离的 Shadow DOM（createShadowRootUi）中，不会和页面 CSS 冲突。UI 按需注入（activeTab），而非每个页面都注入。

混合 AI 引擎。优先端侧运行（Chrome 内置 Gemini Nano——免费且私密），如果端侧不行会自动回退到你自己的密钥，支持 OpenAI、Anthropic、Google 和 OpenRouter；新增了自定义/本地选项，可将 ColibotAI 指向任何兼容 OpenAI 的服务器（Ollama、LM Studio、llama.cpp 或你自己的网关），因此你可以完全在本地免费运行开源模型。这里没有后端——你的文本直接从浏览器发送到你选择的提供商，或直接在你自己的机器上运行，端侧模式下根本不会向外发送数据。

默认开启安全与隐私保护。密钥仅存储在 chrome.storage.local 中（永远不同步），还可选择仅会话模式保存；一次性迁移工具会把旧版同步的密钥转移到本地存储，并从同步空间中删除。AI 输出使用 marked + DOMPurify 渲染（不再使用正则清理，消除了 XSS 风险）。权限最小化；只有当你添加密钥时，才会按需请求对应提供商的主机访问权限。

细节体验升级：全链路带类型消息、英/意本地化、浅色/深色主题、ESLint + Prettier + Vitest、带搜索和 JSON 导入/导出的笔记侧边栏、保存时验证 API 密钥（零 token 检查，你能立刻知道密钥是否有效）、调试模式，还有智能缓存——对几乎完全相同的选中文本复用已保存的回答，避免重复消耗 token。

核心功能还是原来那个，但工具体验已经焕然一新。它完全免费、符合 GDPR 规范，产自瑞士。非常期待大家的反馈——尤其是关于端侧运行和自备密钥之间平衡的看法。🙏