爬虫揭露指纹脚本暗地收集生物特征
推荐指数 56.0 NO. 019 · 2026.10.29
发布2026/10/28Score530Comments119
简介
安全研究者用 Playwright 爬取 Tranco 头部网站，通过 hook canvas API 发现大量浏览器指纹脚本远超已知库（如 FingerprintJS）的复杂度，部分脚本竟在提取可关联个人身份的生物特征级数据。对做反欺诈、隐私合规和 bot 检测的工程师有直接参考价值。
编辑判断
现有反指纹方案大多针对 FingerprintJS 等公开库做特征库匹配，但这次测绘显示头部站点大量使用未公开、高度混淆的定制脚本，传统黑名单策略基本失效。Akamai、DataDome 等商业反 bot 方案的客户端采集维度可能比公开文档多 2-3 倍，做爬虫对抗的团队需要重新评估基于 headless 浏览器的绕过成本。
指纹数据正在从设备层面向生物特征层面演进，比如绘图时的鼠标微抖动、触压节奏，这类数据 GDPR 下可能构成特殊类别个人数据，出海产品的合规团队需要关注监管是否会跟进收紧。建议做 bot 检测的工程师直接拉作者的开源爬虫框架做一轮自己的站点审计，比读十篇论文都管用。
社区反馈
意见分歧 102 条评论
核心争论：评论区偏离原文主题，核心争论变为反LLM/AI检测手段的有效性
Nice sleuthing! We do a similar thing to mark documents that are still under embargo and one day I forgot to remove the watermark. The customer complained they had not received the document (a day or two after I sent it), and much searching was done. Finally we found a line in an outlook log on thei
pretty crafty i must say hats off. i will steal this idea if you dont mind!
Feel free! The easiest way to do this is white text on a white background on the last page of the document. If you want to do it on every page do it in the header or the footer. Font size '1' for bonus points ;)