2. 指纹基础概念
在进入采集代码与稳定性评估之前，必须先把四个高频概念厘清：设备指纹、浏览器指纹、主动指纹与被动指纹。它们经常被混用，但在工程实现、合规边界和稳定性评估上，含义并不相同。理解它们的区别与联系，决定了你后续采集哪些字段、如何设计降级策略，以及如何判断一个指纹是否“可信”。
一、核心原理：从“设备”到“浏览器”再到“采集方式”
设备指纹（Device Fingerprint）关注的是物理或系统层面的设备身份。它通常由硬件与操作系统特征构成，例如 CPU 架构、GPU 型号、屏幕分辨率、时区、语言、字体列表、传感器能力等。设备指纹的目标是：在同一台设备上尽量保持稳定，在不同设备上尽量可区分。
浏览器指纹（Browser Fingerprint）是设备指纹在浏览器环境中的可观测投影。它由浏览器暴露的 API、HTTP 头、渲染行为、存储能力等组成，例如 User-Agent、Accept-Language、Canvas 渲染结果、WebGL 参数、AudioContext 特征、插件列表、屏幕参数、时区等。浏览器指纹并不等于设备指纹：同一台设备换一个浏览器，浏览器指纹会显著变化；同一浏览器在不同设备上，也可能因为硬件差异而产生不同指纹。
主动指纹（Active Fingerprint）与被动指纹（Passive Fingerprint）的区别在于采集时是否主动向客户端发起探测。主动指纹需要执行脚本、调用 API、发起挑战或触发渲染，例如运行 JavaScript 读取 Canvas、WebGL、Audio、字体枚举；被动指纹则只观察客户端自然发出的请求与响应，例如 HTTP 头、TLS 握手参数、TCP/IP 特征、请求顺序与时间间隔。
一句话记忆：设备指纹是“设备是什么”，浏览器指纹是“浏览器暴露了什么”，主动指纹是“我问它答”，被动指纹是“它自己说”。
二、方法流程：四类指纹的采集与关联
在实际系统中，四类指纹通常不是孤立使用，而是按“被动优先、主动补充、设备校准、浏览器聚合”的流程组合。一个典型的采集流程如下：
- 被动采集：在服务端或边缘节点记录 HTTP 头、TLS 指纹（JA3/JA4）、TCP/IP 参数、请求时序。此阶段不执行任何客户端脚本，合规风险最低。
- 主动采集：在页面中注入采集脚本，读取 Canvas、WebGL、Audio、字体、屏幕、时区、硬件并发数等。此阶段需要处理异步、超时与用户授权。
- 设备指纹校准：将主动采集到的硬件相关字段（GPU、屏幕、CPU 核心数）与被动采集到的网络特征进行交叉验证，剔除明显矛盾项。
- 浏览器指纹聚合：将浏览器 API 特征与 HTTP 头特征合并，生成浏览器级指纹 ID。
- 稳定性评估：对同一设备多次采样，计算字段漂移率、ID 碰撞率与置信度，决定是否降级或重新采集。
下面是一个简化的主动指纹采集参数示例，用于说明字段组织方式：
{
"canvas": "data:image/png;base64,...",
"webgl": {
"vendor": "Google Inc.",
"renderer": "ANGLE (Intel, Intel(R) UHD Graphics 620)"
},
"audio": 124.04347527516074,
"screen": { "width": 1920, "height": 1080, "colorDepth": 24 },
"timezone": "Asia/Shanghai",
"hardwareConcurrency": 8,
"fonts": ["Arial", "Courier New", "Georgia"]
}被动指纹则更接近服务端日志形态：
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) ...
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
TLS-JA3: 771,4865-4866-4867-49195-49199...
TCP-Window: 64240
Request-Interval: 120ms三、案例/场景：电商风控中的组合使用
假设一个电商风控系统需要识别“同一设备批量注册”。如果只使用被动指纹，攻击者可以通过修改 User-Agent 和代理 IP 轻易绕过；如果只使用主动指纹，攻击者可以通过浏览器插件伪造 Canvas 和 WebGL。更稳健的做法是组合使用：
- 被动层：记录 TLS 指纹与 TCP 窗口，判断客户端是否为真实浏览器栈。许多自动化工具的 TLS 握手顺序与真实浏览器不同。
- 主动层：采集 Canvas 与 Audio 指纹，判断渲染引擎是否被篡改。若 Canvas 哈希每次请求都变化，说明存在噪声注入或虚拟环境。
- 设备层：结合屏幕分辨率、GPU 型号与硬件并发数，判断是否为同一物理设备。若同一账号在 5 分钟内切换了 3 种 GPU 型号，则高度可疑。
- 浏览器层：将浏览器指纹与设备指纹做映射，若同一设备上出现大量不同浏览器指纹，可能是多开或模拟器。
在这个场景中，主动指纹与被动指纹不是替代关系，而是互补关系：被动指纹提供低成本的“第一道筛子”，主动指纹提供高区分度的“第二道验证”，设备指纹与浏览器指纹则分别从硬件和软件两个维度提供身份锚点。
四、误区/复盘：常见混淆与稳定性陷阱
误区一：把浏览器指纹等同于设备指纹。同一台手机上的 Chrome 与 Safari，浏览器指纹差异巨大，但设备指纹应保持一致。若系统用浏览器指纹做设备级封禁，会误伤同一设备上的正常浏览器切换。
误区二：认为主动指纹一定比被动指纹更准。主动指纹容易被 JS 钩子、插件和虚拟环境伪造；被动指纹虽然字段少，但更难被客户端篡改。稳定性评估中，被动字段的漂移率通常更低。
误区三：忽略采集时机对稳定性的影响。Canvas 指纹在页面加载后立即采集与在用户交互后采集，结果可能不同；Audio 指纹在无音频输出设备上可能返回固定值。采集时机不一致，会导致同一设备产生多个指纹 ID。
为了更清晰地对比四类概念，下表从定义、采集方式、稳定性、可伪造性和典型字段五个维度进行归纳：
| 维度 | 设备指纹 | 浏览器指纹 | 主动指纹 | 被动指纹 |
|---|---|---|---|---|
| 定义 | 物理/系统层设备身份 | 浏览器暴露的软件特征 | 需主动探测获取 | 仅观察自然流量获取 |
| 采集方式 | 系统 API、硬件信息 | 浏览器 API、HTTP 头 | JS 执行、挑战、渲染 | 服务端日志、TLS/TCP |
| 稳定性 | 高（硬件不变则稳定） | 中（受浏览器版本影响） | 中低（受环境影响） | 高（协议层较稳定） |
| 可伪造性 | 低（需虚拟化或改硬件） | 中（插件可篡改） | 高（JS 钩子易伪造） | 低（需改协议栈） |
| 典型字段 | GPU、屏幕、CPU 核心数 | UA、Canvas、WebGL | Canvas、Audio、字体 | JA3、TCP 窗口、请求间隔 |
复盘时，建议用以下清单检查你的指纹体系是否健康：
- 是否同时具备被动与主动采集能力，且两者可交叉验证？
- 设备指纹与浏览器指纹是否分开存储、分开评估？
- 主动指纹采集是否有超时、降级与重试机制？
- 是否对同一设备进行多次采样，计算字段漂移率？
- 是否记录了采集时机、页面状态与用户授权信息？
只有把“设备—浏览器—主动—被动”四个维度拆开理解，再在工程上重新组合，才能为后续的稳定性评估打下可解释、可调试、可合规的基础。