Chrome 登录态是什么？为什么工具都让你「扫码登录一次」
每次看到「本工具复用你的浏览器登录态，不需要密码」，很多人心里会打鼓：它是不是在偷我的登录状态？这篇把原理讲清楚，你就知道该怎么判断一个工具靠不靠谱。
登录态到底是什么
你在 X 输完密码点登录，服务器发给浏览器一个「凭证」（cookie），浏览器把它存在本地。之后你访问 X 的每个请求都自动带上这个凭证——服务器一看「哦是这个人」，就不用再输密码。这个本地凭证就是登录态，它只属于你这台电脑上的这个浏览器。
工具说的「复用登录态」是什么意思
正规做法是：工具启动一个你本机的 Chrome（用独立的数据目录），你在这个 Chrome 里像平常一样扫码/输密码登录一次；之后工具操作这个浏览器发内容时，浏览器自动带上你的凭证——工具自始至终不知道你的密码，它只是「借用」了你已经登录的浏览器窗口。
这比「把账号密码交给工具」安全得多：密码没离开过你的输入，工具能做的也和你在浏览器里能做的一样，不会多出任何权限。
为什么是一次性的
因为登录态（cookie）存在本地数据目录里，关掉浏览器再打开还在（有效期通常很长）。所以「扫码登录一次」之后：
- 以后每次用工具自动带着登录状态
- 你在自己电脑上手动退出登录，工具下次会重新引导你登录
- 换电脑、重装系统，需要重新登录一次
怎么判断一个工具在登录态上是否安全
看四条，中两条以上就要警惕：
- 要不要你的密码：要你输入账号密码的，密码就离开了你手里——正规工具都是引导你在官方页面自己登录
- 登录页是不是官方的：引导你扫码/输密码的页面域名必须是平台官方域名（x.com 等），任何「我们的登录页」都是钓鱼
- 数据存在哪：存在你本机（浏览器数据目录）= 安全；上传到它的服务器 = 你的登录态在别人手里
- 能不能看到它干了什么：操作过程有可见的浏览器窗口、有日志 = 可信；黑箱运行 = 不可信
一个反直觉的常识
平台官方对「异地/陌生客户端登录」很敏感，但对「你自己的电脑上、你自己的 Chrome、和平时一样的登录」无感——因为后者从平台视角看就是普通用户行为。这也是「复用本机登录态」比「把 token 拿到服务器跑」更不容易触发风控的原因。
小结
登录态 = 浏览器本地凭证。工具复用它 = 借你已经登录的窗口办事，不需要密码。判断安全性就看：要不要密码、登录页是否官方、数据是否留在本机、过程是否可见。