浏览器指纹是什么？每项参数都不特别，拼起来却能认出你

网站认出你，很多时候不需要你登录，也不需要往你机器里放任何东西。浏览器每次打开页面，都会主动交出一批信息。

这批信息凑在一起足够稳定，能撑过你清空浏览记录。陌生站点照样认得出，这是同一台设备。这就是浏览器指纹。

MostMate 是一款面向多账号运营的指纹浏览器。它处理的正是这件事的另一面：在同一台电脑上，给每个账号一套独立、并且各自自洽的浏览器身份。

下面按四个问题往下走。指纹由什么拼成、网站从哪些入口拿到、关掉脚本能不能躲开，以及怎么自己测一遍。

单项都不稀奇，拼起来才认得人

单独看每一项，都普通得没法用来认人。1366×768 的屏幕满街都是，Chrome 的标识串一抓一大把，东八区住着几亿人。

真正起作用的是交集。屏幕尺寸是一层筛子，操作系统是一层，显卡型号是一层，字体列表、时区、语言偏好各算一层。每叠一层，剩下的人就少一批。叠到七八层，往往只剩一个。

EFF 在 2010 年做过一次公开实验，收集了约 47 万份浏览器信息。其中 83.6% 在这一组筛子下已经是独一份。

研究者把结果换算成信息量，平均每台浏览器至少带着 18.1 比特的辨识度。随机挑一台，大约 28 万台里才会有一台和它撞上。实验的完整结论写在 EFF 那份公开报告里。这组数字后来被反复引用，也反复被误读。

这个数字容易被读成「人人都在裸奔」。其实它更值得当成一句提醒：指纹的强度不来自某一项有多罕见，而来自有多少项能同时对得上。 一项特别少见的值，反倒会让这台设备在统计上显得突兀。

还有一件事比项数更关键，就是稳定性。指纹之所以有用，是因为它明天、下个月还在原处。一个每次启动都换一套参数的浏览器，等于每天主动交出一组新的区分线索。

三份研究给出三个数字，差别藏在采样方式里

只记住一个数字容易得出错误结论。同类研究做过不止一次，条件不同，结果差得很远。

前两行的数据来自专门做检测的网站。愿意主动去测的人，本身就更在意隐私，设备与配置也比普通网民整齐一些。

第三行换了个场景。采集脚本挂在访问量排前十五的法国新闻网站上，收的是两个页面的自然访客：天气预报和政治新闻。用的还是同样那十几项属性。

同样一组属性，换一批人来测，唯一比例从接近九成掉到三分之一。

所以唯一性并不是设备的固有属性。它取决于三件事能不能同时成立：采了多少项、采的是谁、用什么方式采。 到 2021 年，研究者把属性从十几项扩到两百多项再测一次。唯一比例又回到 81%。项数一多，人就分开了。

那次法国站点的研究里还有个更实用的发现。不唯一的指纹被描述成「脆弱的」。

一台原本和几万人重合的机器，只要动一点配置就可能掉进独一份那一档。浏览器升级、多装一个扩展、调一次分辨率，都算。「我跟别人撞上了」不是安全证明，只是暂时还没被分开。

指纹有三个入口，只有一个靠脚本

问「网站到底能看到什么」，要分三层看。三层里只有最下面那一层依赖脚本，另外两层在脚本运行之前就已经完成了。官网讲环境隔离时，也是按设备、浏览器、网络这三层来拆的。

连接层：请求还没发出去，地址已经被记下

打开页面之前，浏览器要先和服务器握一次手，再发出请求。这个过程中，服务器已经拿到了你的出口地址，以及一组协商参数。

协商参数包括双方支持的加密方式、扩展项和偏好顺序。报什么、按什么顺序报，由浏览器版本与运行环境决定。这些值不涉及页面内容，也不需要你点同意，属于通信本身的副产品。

地址加上这组参数，已经能完成一次粗筛。线路属于哪家运营商，对面像哪个版本、哪个浏览器，多半能看个大概。

请求头层：浏览器每次都主动报上几项

请求头是浏览器附加在请求上的说明。有几项几乎次次都在，比如接受哪些语言、支持哪些压缩方式、自己的标识串、从哪个页面跳转过来。

语言那一项由系统与浏览器设置决定，写得比多数人以为的更细。中文下面还分简繁与地区。它们的特点是安静、稳定、每次都给，不随你访问哪个站点变化，也不随你清空历史变化。

页面层：脚本能读到的比你想的多

页面加载之后，脚本可以继续往下问。屏幕与窗口尺寸、时区偏移、CPU 核心数、内存档位，都在可读范围里。这些接口在浏览器里是公开的，浏览器的接口文档把它们列得清清楚楚，任何站点都能直接调用。

问「浏览器指纹是什么」，多数人最先想到的是画布和字体。这两项确实最常被点名，原因不在它们多稀奇，而在它们最难改。

画布与字体：最常被点名的两项

画布（Canvas）的做法很直白。页面在你看不见的位置画一段图形或一行字，再把画好的图逐像素读回来。

同一段指令，在不同显卡、不同驱动、不同系统上画出来的像素并不完全一样。差别小到肉眼看不出来，却足够稳定。你换一张壁纸、改一次缩放比例，它都还在原处。

字体列表走的是另一条路。页面不问你装了什么字体，而是拿一批常见字体的名字逐个试。用某个字号渲染一段字，量出来的宽度跟预期对不上，就说明这个字体不在你机器上。试的名字越多，拿到的记录越长。

装设计软件时顺手带进来的那些字体，在这里都算数。所以字体指纹常常比屏幕尺寸更能说明问题，它记的是你装过什么软件、平时拿这台机器做什么。

渲染差异：藏在像素里的那一类

画布只是渲染差异的一个出口。音频处理链路、图形接口、视频编解码各自都会留下与硬件绑定的细小差别，同一台机器上它们互相咬合，换一台机器很难复现。

这一类值有个共同点：由硬件与驱动决定，改不动。调浏览器设置、清缓存、换线路，都碰不到它们。

比项数更值得留意的是稳定性。这类值稳定到可以当成设备标识长期使用，也正因为稳定，把某一两项参数改得更罕见，通常解决不了问题。

关掉 JavaScript，问题就解决了吗

把脚本关掉，第三个入口确实堵住了。页面读不到字体列表，也拿不到渲染结果。

但前两层照旧。请求头一项不少，出口地址照样记下，连接层的协商参数也照样在。关脚本减掉的是其中一层，不是全部。

2010 年那次实验里，禁用脚本的浏览器被单独归成一类「相对难以指纹化」的样本。这个动作在当时确实有效。

不过「相对难」和「藏得住」是两回事。周围的人都开着脚本，你恰好属于关着的那一小撮，这件事本身就构成特征。少见的状态不会让人消失，只会让人更容易被挑出来。

真正该处理的不在这里。指纹带来的困扰，主要是同一批身份之间被连起来，而不是某一项参数够不够隐蔽。 这也解释了为什么把参数改得更花、更罕见，通常帮不上忙。

同一台电脑换浏览器，哪些项会跟着变

不少人以为多装几个浏览器就等于多了几个身份，实际变化比想象中少。按换浏览器之后的表现，这些项可以分成两组：

• 会跟着变的：浏览器标识串、图形与画布接口的渲染结果、扩展列表、本地存储与登录状态。
• 不跟着变的：显卡与驱动型号、屏幕物理参数、CPU 核心数、内存档位、系统时区、系统级字体。

第一组由浏览器自己带来，重装、升级、装扩展都会重排。第二组来自硬件与系统，换多少个浏览器都还是同一批值。它们才是把几台「看起来不同」的机器连起来的那根线。

同一台电脑上开三个浏览器，在网站眼里更接近同一台设备的三种用法。不是三台设备。

三步自测：多账号管理里怎么用这套判断

公开的检测站不用注册就能跑。与其听结论，不如看一眼自己这台机器报出去的到底是什么。落实到多账号场景，比读检测结果更该先定下来的其实是顺序，从零到第一个环境的顺序那篇把代理、表单和核对清单按先后排过一遍。

测的顺序可以这样定：

1. 先看唯一性来自哪几项。跑完不看总分，看它标出的「最独特的几项」，那通常就是你身上最难改的部分。
2. 再把同一台机器上的两个浏览器各测一次，圈出两次都相同的项。重合的那些属于硬件与系统这一层，换浏览器也甩不掉。
3. 最后把脚本关掉复测一遍，看还剩哪些值读得出来。剩下的就是不用脚本也能拿到的部分。

三步跑完，通常会落到同一个结论上。真正难改的项没有几项，但正是它们在稳住你的身份。

顺着这个结论往下，多账号场景的做法不难推。要做的是让每个账号的环境在自己那一套里保持一致，参数不需要更奇特。

MostMate 把这件事放在创建环境这一步。语言、界面语言、时区、地理位置默认跟着出口走。屏幕、核心数、内存这类硬件项只给真实与随机两档，想偏离默认值，得手动选一次。这套取值与手动逐项配置的对照在官网上可以并排看到。

为什么要这么取舍，四条设计原则分别在拦什么那篇讲得更细。哪一条对应哪一类失效、四条互相顶的时候该先保哪一条，都写在里面。

想直接上手的话，也可以下载 MostMate，装好之后拿上面这三步复测一遍自己的环境。

想先看清 MostMate 是怎么把这些取值收进一套环境管理里的，可以从产品说明开始。

常见问题

清除 Cookie 或者开无痕模式，指纹会变吗？

不会。Cookie 和本地存储是浏览器替网站留下的便签，清掉就没有了。指纹不一样，它是从设备和浏览器里现读出来的值，并没有存在你机器上。无痕模式限制的是本地留下什么，不改变浏览器对外报什么。

换个 IP，是不是就换了一个身份？

只换了网络那一层。语言偏好、字体、显卡、系统时区这些项不会因为换 IP 而变化。如果新线路的地区跟你的时区、语言对不上，反而拼出一个说不通的组合。

装一个反指纹插件有用吗？

常见做法是给部分项加噪声，或者统一成一套大众取值。统一取值确实能让你淹没在人群里，代价是同一批人共享同一套特征。加噪声则可能让同一个环境两次报出的值不一致，这本身就是异常。两种做法都动不到硬件与系统那一层。

网站真的会去比对指纹吗？

在反欺诈和风控里属于常规手段，登录、注册、支付这些环节尤其常见。不过多数站点把它当成一路信号，会跟账号行为、设备历史放在一起看，很少只凭某一项下判断。

两台型号完全一样的电脑，指纹会一样吗？

不会完全一样。同型号机器在系统版本、字体、驱动、时区、语言、装的扩展上很快分岔，这些差异都会落进指纹。批量装出来的克隆机器最接近，但那只占很小一部分场景。

用了指纹浏览器，是不是就查不到了？

不是。指纹浏览器处理的是环境之间的边界，让每个账号拥有一套独立且自洽的浏览器身份。它不改变平台怎么判定账号归属，也不承诺任何结果。另外要分清一件事：指纹一致性属于自查方式，不是平台的检测规则。把两者当成同一件事，容易对工具有不切实际的期待。