2. 设备指纹采集原理：被动采集与主动采集、浏览器端采集与原生端采集

设备指纹的采集是评分策略的基石。采集方式决定了指纹的稳定性、唯一性和抗篡改性。本章深入剖析两大采集范式（被动与主动）以及两大终端环境（浏览器端与原生端）的核心技术原理。

2.1 采集范式：被动采集 vs 主动采集

根据采集过程中是否对设备或网络环境产生可感知的影响，设备指纹采集分为被动采集与主动采集两种范式。两者在风险场景中各有优劣，通常混合使用。

2.2 浏览器端采集：Canvas / WebGL / Font

浏览器端采集是 Web 环境下设备指纹的核心手段。由于浏览器沙箱限制，无法直接获取硬件序列号，因此主要利用 GPU 渲染差异、操作系统字体配置和浏览器引擎特性来生成唯一标识。

2.2.1 Canvas 指纹

Canvas 指纹利用不同设备在绘制相同图形（文字、形状、颜色渐变）时，由于 GPU 驱动、显卡型号、操作系统渲染引擎的细微差异，导致最终生成的像素数据（Base64 编码或哈希值）不同。即使同一型号的显卡，不同驱动版本也会产生差异。

// Canvas 指纹采集核心代码示例
function getCanvasFingerprint() {
    const canvas = document.createElement('canvas');
    const ctx = canvas.getContext('2d');
    canvas.width = 200;
    canvas.height = 50;

    // 绘制文字
    ctx.textBaseline = 'top';
    ctx.font = '14px Arial';
    ctx.fillStyle = '#f60';
    ctx.fillRect(125, 1, 62, 20);
    ctx.fillStyle = '#069';
    ctx.fillText('Cwm fjordbank glyphs vext quiz, 😃', 2, 15);

    // 绘制形状
    ctx.fillStyle = 'rgba(102, 204, 0, 0.7)';
    ctx.fillRect(0, 30, 100, 20);

    // 返回 Base64 数据
    return canvas.toDataURL();
}

2.2.2 WebGL 指纹

WebGL 指纹通过获取 GPU 的渲染能力信息来区分设备。包括：GPU 厂商和型号、渲染器字符串、着色器精度、最大纹理尺寸、抗锯齿模式等。WebGL 指纹比 Canvas 更稳定，因为 GPU 硬件信息在系统重装后通常不变。

2.2.3 Font 指纹

Font 指纹通过检测设备上安装的字体列表来生成标识。不同操作系统、语言包、软件安装情况会导致字体集合差异巨大。采集方式通常有两种：Flash 方式（已废弃）和JavaScript 方式（通过测量文字宽度或使用 Font API）。

2.3 原生端采集：IMEI / IDFA / Android ID

在移动原生应用（Android / iOS）环境中，设备指纹采集可以访问更底层的系统 API，获取硬件标识符。这些标识符具有高唯一性，但也面临严格的隐私权限管控。

2.3.1 Android 端核心标识符

2.3.2 iOS 端核心标识符

2.4 采集策略总结：多维融合与隐私合规

设备指纹采集已从单一标识符时代进入多维融合时代。优秀的采集策略应遵循以下原则：

1. 分层采集： 第一层为被动采集（网络层），第二层为浏览器端主动采集（渲染层），第三层为原生端采集（系统层）。每层独立计算指纹，最终加权融合。
2. 隐私优先： 严格遵守 GDPR、CCPA、《个人信息保护法》等法规。在采集 IMEI、IDFA 等敏感标识符前，必须获得用户明确授权。建议提供“降级模式”：用户拒绝授权后，仅使用被动指纹和浏览器端非敏感指纹。
3. 抗衰减设计： 设备指纹会随系统升级、应用更新、硬件更换而变化。采集模块应定期（如每 30 天）重新计算指纹基线，并记录指纹变化历史，用于评分模型的时间衰减因子。
4. 异常检测： 当采集到的指纹与历史基线偏差过大（如 Canvas 指纹突变、IMEI 为空但 Android ID 未变），应触发“设备篡改”告警，并在评分中降低该设备的信任等级。