浏览器指纹

浏览器指纹是一种在线追踪技术：通过采集设备和浏览器配置中与 IP 无关的独特属性，拼出一份持久且可识别的用户画像。即便用户屏蔽了 Cookie 等传统追踪手段，或用代理等服务隐藏了 IP 地址，网站和广告商依然可以借助这项技术在不同会话中认出同一个用户。

什么是浏览器指纹？

浏览器指纹的做法是把用户浏览器和操作系统中大量看似无害的数据点汇总起来。单看每一项（例如屏幕分辨率、已安装字体、user-agent 字符串）都并不独特，但它们的特定组合往往能形成一个高度可辨识的签名，就像人的指纹一样。这个数字签名随后可用于追踪用户在互联网上的活动，把彼此分离的浏览会话关联到同一台设备和同一个用户身上。其主要目的就是实现持久追踪与识别，绕开清除 Cookie、使用隐身模式、通过代理服务器轮换 IP 地址等旨在提升隐私的措施。

浏览器指纹的工作原理

网站和追踪脚本利用 JavaScript 及其他 Web API 向浏览器和操作系统查询特定特征，再把这些特征组合并做哈希，生成唯一标识符。指纹之所以有效，是因为这些属性的可能组合数量极其庞大：除非采取专门的反制措施，否则两个用户拥有完全相同特征集合的概率在统计上微乎其微。

用于生成指纹的关键数据点：

• User-agent 字符串： 该字符串包含浏览器类型、版本、操作系统和硬件架构等信息。它本身并不独特，但会构成整体画像的一部分。
• 屏幕分辨率与色彩深度： 会采集显示器尺寸（例如 1920x1080）、像素比（devicePixelRatio）以及屏幕可显示的颜色数量（screen.colorDepth）。
• 已安装字体： 网站可以尝试用各种常见和不常见的字体渲染文本并测量其尺寸，从而探测用户系统中安装了哪些字体。已安装字体的独特组合是很强的标识。
• Canvas 指纹： 该技术让浏览器在 HTML <canvas> 元素上渲染一段隐藏的图形或文字。由于 GPU、显卡驱动、操作系统和浏览器渲染引擎存在细微差异，这张图像在像素级别的输出结果在不同系统上会略有不同。随后提取图像数据并做哈希，生成唯一标识符。
• WebGL 指纹： 与 Canvas 指纹类似，WebGL 利用浏览器的 3D 图形渲染能力，查询 GPU 厂商、渲染器及具体能力。硬件、驱动和软件栈的细小差异会在渲染复杂 3D 场景时产生独特输出。
• 音频指纹： 该方法生成一段短促的音频信号（例如某个特定音调），并让它经过浏览器的音频处理链。音频硬件、驱动和操作系统音频处理的差异会产生独特的音频输出，随后被哈希。
• 浏览器插件与扩展： 已安装插件的列表（例如如今不太常见的 PDF 阅读器），有时甚至扩展程序，都可能被枚举出来，进一步提高唯一性。
• 硬件并发数： 浏览器可用的逻辑处理器核心数量（navigator.hardwareConcurrency）。
• 设备内存： 以 GB 为单位的设备内存近似值（navigator.deviceMemory）。
• 语言设置： Accept-Language HTTP 请求头和 navigator.language 属性反映用户的首选语言。
• 时区： 用户本地时区相对于 UTC 的偏移量。
• HTTP 请求头： 其他 HTTP 请求头（例如 DNT，即 Do Not Track）也能提供额外数据点，虽然区分度较低。
• WebRTC 泄露本地 IP 地址： 严格来说这不算指纹属性，但在某些配置下，即便用户处于代理或 VPN 之后，WebRTC 也可能暴露其真实的本地和公网 IP 地址。现代浏览器已针对此实施了缓解措施。

浏览器指纹为何是一种威胁

浏览器指纹给在线隐私和匿名性带来了严重挑战：

• 持久追踪： 无论 IP 地址如何变化、是否屏蔽 Cookie、是否使用隐身模式，追踪方都能在全网范围内跟踪用户，这削弱了许多常见隐私工具的效果。
• 隐私侵蚀： 机构可以在未获得明确同意的情况下，建立关于用户行为、兴趣和人口特征的详细画像，引发数据聚合与监控方面的担忧。
• 定向广告与价格歧视： 由指纹推导出的用户画像可用于高度精准的广告投放。某些情况下还会导致价格歧视，即根据推测出的画像（例如推断的消费能力或所在位置）向不同用户展示不同的商品或服务价格。
• 反机器人措施与访问控制： 尽管指纹常被用于正当的安全目的（例如识别欺诈行为或僵尸网络），但它同样可能限制使用隐私工具的正常用户访问。
• 绕过代理： 对于依靠代理服务隐藏 IP 地址的用户来说，浏览器指纹提供了一个即便 IP 轮换也能串联各次会话的持久标识，会大幅抵消所期望的匿名效果。

防范浏览器指纹的策略

防范浏览器指纹需要多层次的方案，没有任何单一手段能提供完全的免疫力。

代理服务及其局限

代理服务对隐藏 IP 地址至关重要，可以阻止基于 IP 的追踪和地理定位。但代理不会改变浏览器或操作系统的内部属性。因此，即便 IP 地址被隐藏，浏览器的独特指纹对网站来说依然可见。代理是在线匿名的基础组件，但必须与其他反指纹措施配合使用。

浏览器配置与使用习惯

• 使用注重隐私的浏览器：
  • Tor Browser： 专门设计用于把众多指纹属性标准化，让所有用户看起来尽可能一致。它还会把流量通过 Tor 网络转发以实现 IP 匿名。
  • Brave Browser： 内置广告和追踪器拦截，并默认对许多指纹采集途径做随机化或直接拦截。
  • 启用 privacy.resistFingerprinting 的 Firefox： 在 Firefox 的 about:config 中启用 privacy.resistFingerprinting 会让浏览器尽量呈现一个通用指纹，包括通过 "letterboxing" 统一屏幕分辨率、减少 navigator 对象可暴露的信息，以及禁用部分 API。
  • 经过加固的 Chromium 系浏览器： 一些专门的 Chromium 分支专注于强化隐私，通常内置反指纹防护。
• （有选择地）禁用 JavaScript： 大多数复杂的指纹采集技术依赖 JavaScript。禁用 JavaScript 能显著缩小攻击面，但也会让许多网站功能失效。可以使用 NoScript 之类的浏览器扩展，只对受信任的域名启用 JavaScript。
• 拦截第三方 Cookie 与存储： 虽然这并不直接针对指纹，但拦截第三方 Cookie 和其他持久化存储机制（localStorage、sessionStorage、IndexedDB）可以阻止传统追踪，并缩小整体数据足迹。
• 伪造 User-Agent： 手动修改 user-agent 字符串是可行的，但单独使用往往无效。如果其他浏览器属性（例如屏幕分辨率、已安装字体）与伪造的 user-agent 不匹配，网站能够识别出这种不一致。
• 拦截 Canvas/WebGL： 配置浏览器或使用扩展来拦截或随机化 Canvas 与 WebGL API 的输出。Firefox 的 resistFingerprinting 已包含针对这两者的缓解措施。
• 限制 API 访问： 禁用或限制对某些浏览器 API 的访问（例如 Battery Status API；如果用不到 WebRTC 且浏览器没有可靠的缓解措施，也应一并处理）。
• 定期清理浏览器数据： 虽然对持久性指纹作用有限，但定期清理 Cookie、缓存和站点数据有助于防止其他形式的追踪，并减少数据留存。

浏览器扩展

• uBlock Origin： 除了拦截广告，uBlock Origin 还能拦截来自已知追踪域名的大量脚本和网络请求，从而减少可用于指纹采集的数据。
• CanvasBlocker： 专门通过修改 Canvas 和 WebGL API 的输出来阻止或伪造这两类指纹。
• Privacy Badger： 能根据行为特征学习识别并拦截隐形追踪器，帮助减少跨站追踪。
• NoScript： 按站点提供对 JavaScript、插件和其他可执行内容的精细控制，让用户可以禁用那些参与指纹采集的脚本。

操作系统层面的措施

• 虚拟机（VM）： 为敏感浏览使用全新的虚拟机实例，可以提供一致且隔离的环境。使用后重置或删除虚拟机，可确保后续会话获得全新且通用的指纹。
• 专用浏览环境： Tails OS 之类的操作系统以最大化匿名为目标，强制执行严格的隐私措施，并把所有网络流量通过 Tor 网络转发。

高级技巧

• 随机化浏览器属性： 高级用户或专门工具可以主动随机化各类浏览器属性（例如轻微改动 canvas 输出、轮换 user-agent 字符串、伪造屏幕分辨率）。这种做法复杂，需要谨慎实现，否则可能产生一个"不一致"的指纹，而这种不一致本身就会被识别为规避追踪的行为。

浏览器抗指纹能力对比

代码示例：JavaScript 读取指纹数据

下面的 JavaScript 片段演示了网站如何读取用于指纹采集的常见浏览器属性。

// 访问 navigator 对象属性
console.log("User Agent:", navigator.userAgent);
console.log("Platform:", navigator.platform);
console.log("Language:", navigator.language);
console.log("Hardware Concurrency (CPU cores):", navigator.hardwareConcurrency);
console.log("Device Memory (GB):", navigator.deviceMemory || 'N/A');

// 访问 screen 对象属性
console.log("Screen Resolution:", screen.width + "x" + screen.height);
console.log("Color Depth:", screen.colorDepth);
console.log("Pixel Ratio:", window.devicePixelRatio);

// 访问时区信息
console.log("Time Zone Offset (minutes from UTC):", new Date().getTimezoneOffset());

// Canvas 指纹的概念示例
function getCanvasFingerprint() {
    const canvas = document.createElement('canvas');
    const ctx = canvas.getContext('2d');
    canvas.width = 200;
    canvas.height = 20;

    // 用特定样式绘制一段文本
    ctx.textBaseline = 'top';
    ctx.font = '14px Arial';
    ctx.fillStyle = '#f60';
    ctx.fillRect(125, 1, 62, 20);
    ctx.fillStyle = '#069';
    ctx.fillText('Browser Fingerprint Test', 2, 15);
    ctx.fillStyle = 'rgba(102, 204, 0, 0.7)';
    ctx.fillText('Browser Fingerprint Test', 4, 17);

    // 返回画布内容的 data URL，其结果会随渲染差异而变化
    return canvas.toDataURL();
}
// 为避免输出过长的字符串，这里只在概念上展示其中一部分：
// console.log("Canvas Fingerprint (partial data URL):", getCanvasFingerprint().substring(0, 100) + "...");