🔖风控

指纹浏览器解决什么问题做电商多账号、广告投放、爬虫业务时，核心矛盾是：一台物理机的浏览器指纹是唯一的，多开账号会被指纹关联。指纹浏览器（AdsPower、比特、Hubstudio 等）的产品形态是"每个浏览器配置文件一套独立指纹"，底层实现原理值得每个逆向工程师了解——因为它的对抗手法就是风控的检测靶心。实现原理：三层隔离第一层：进程级隔离每个"浏览器环境"是独立的浏览器实例，基于 Chromium 源码定制或 CDP 控制，各自有独立的：用户数据目录（cookie、localStorage、缓存完全隔离）代理配置（每个环境绑一个代理 IP）时区/语言/分辨率设置这一层解决的是"数据隔离"，普

参数全对为什么还是被封很多逆向工程师卡在同一个困惑：签名算法完美还原、设备指纹成套伪装、IP 也是住宅代理——请求还是触发风控。问题出在行为序列：风控不只校验单个请求合不合法，更分析请求序列像不像人。这是行为风控的核心：单点校验防的是"假请求"，序列分析防的是"机器人"。风控在看什么：行为序列的特征维度时间维度：请求间隔分布：真人是长尾分布（快 1s 慢几分钟），机器是正态/均匀分布 操作时段：真人有作息（深夜低频），机器 24 小时均匀 会话节奏：真人"浏览-停顿-操作"，机器"请求-请求-请求"路径维度：页面跳转路径：真人 首页→列表→详情→(返回)

字体指纹：你装了什么字体，你就是谁设备上安装的字体列表是高度个性化的指纹：设计狮的电脑装满字体，普通用户是系统默认，虚拟机/云手机的字体列表则"干净"得可疑。检测原理（侧面测量法）：JS 不能直接枚举字体，但能"测量"——用不同字体渲染同一文本，测渲染尺寸。字体存在则尺寸变化，不存在则回退默认字体尺寸：function detectFont(fontName) { var baseFonts = ['monospace', 'sans-serif', 'serif']; var testString = 'mmmmmmmmmmlli'; var span = docum

设备指纹：App 怎么认出"这台手机"风控系统识别设备靠的不是单一标识，而是一组设备指纹的联合判定：Android ID：系统级 ID，恢复出厂或 root 后可改IMEI/MEID：基带芯片标识，Android 10+ 普通 App 已拿不到（返回 null 或抛异常）MAC 地址：网卡标识，Android 6+ 官方接口返回 02:00:00:00:00:00硬件序列号：Android 10+ 同样需要特权权限GAID（广告 ID）：Google Play 服务的广告标识，用户可重置"一键新机"的本质：把这一组标识全部随机化，让 App 以为这是一台新设备。各个标识的修改姿势Android

WebGL 指纹的两类信息WebGL 给网页暴露了 GPU 的访问能力，风控从两个层面收集指纹：第一类：参数信息（静态指纹）var canvas = document.createElement('canvas'); var gl = canvas.getContext('webgl'); // 基础参数 gl.getParameter(gl.VENDOR); // "WebKit" gl.getParameter(gl.RENDERER); // "WebKit WebGL" gl.getParameter(gl.VERSION);