浏览器内核技术指南
Chromium 与 Chrome：区别到底是什么？
Chromium 是开源项目，Chrome 是谷歌在其上打造的品牌产品。看看谷歌到底加了什么，以及内核检测为何显示 Chromium 而非 Chrome。
2026-07-177 分钟阅读
探索浏览器指纹、隐私保护和网络安全的前沿技术
Chromium 是开源项目，Chrome 是谷歌在其上打造的品牌产品。看看谷歌到底加了什么，以及内核检测为何显示 Chromium 而非 Chrome。
iPhone 上的 Chrome、Firefox、Edge 其实都用苹果 WebKit 引擎渲染，并非各自的引擎——内核检测能揭穿这一点。
下载速度很快，但一有其他传输，通话和游戏就开始卡顿？真正原因往往是缓冲区膨胀——过大缓冲区带来的额外延迟，而非带宽不足。本文讲清成因与修复方法。
navigator.connection 无需权限提示即可读取网络速度与延迟，仅 Chromium 支持这件事本身也是一种指纹信号。
navigator.permissions.query() 暴露约 15 种权限的 granted/prompt/denied 状态——无需操作的指纹信号。
运动传感器通过校准噪声泄露稳定的设备指纹。iOS 已用权限提示封堵，而 Android 上的 Chrome 至今仍是默认放行、静默可读。
CreepJS 不只看单个伪造值，而是交叉核对可信与不可信来源，揪出难以掩盖的矛盾。
resistFingerprinting 伪装时区、屏幕尺寸与字体，是 Firefox 与 Tor 的一致性反指纹防御。
设备认证用硬件密钥加密证明设备真实性：Play Integrity、App Attest 的原理与隐私代价。
后量子密钥交换为 TLS ClientHello 增加新字段。了解 ML-KEM 和 ML-DSA 如何重塑 JA3/JA4 指纹，以及这对检测系统意味着什么。
DNT 请求头曾让浏览器告诉网站别追踪我，但几乎没有网站遵守。了解其原理、失败原因，以及更具法律效力的继任者 GPC。
FullStory、Hotjar 等会话回放工具会记录你的鼠标、按键和滚动操作。了解其工作原理、如何识别，以及如何降低风险。
CNAME 伪装利用一条 DNS 记录，让第三方追踪者看起来像第一方，绕开只认地址栏域名的 Cookie 拦截。
HTTP ETag头本是为缓存重新验证节省带宽而生——但一台为你分配唯一ETag的服务器，能把你的浏览器缓存变成追踪ID。
CSS 媒体查询和 @font-face 规则无需一行 JavaScript，就能泄露深色模式、指针类型、屏幕分辨率乃至已安装字体等信息。
了解 HTTP/3 和 QUIC 指纹识别的原理:QUIC Initial 数据包中的传输参数、h3 ALPN 信号,以及它与 HTTP/2 指纹识别的区别。
下载速度很快，但通话卡顿、游戏延迟？真正的原因往往是抖动和丢包，而不是带宽。本文解析它们的成因与影响。
speechSynthesis.getVoices() 无需任何权限提示即可暴露操作系统和浏览器已安装的语音合成列表，是一种稳定且很少被屏蔽的指纹信号。
navigator.mediaDevices.enumerateDevices() 在授予摄像头/麦克风权限前暴露设备数量、ID 和标签，追踪者借此构建指纹。
反弹追踪会把你的点击悄悄绕道追踪者自己的域名，借机植入第一方标识符，从而彻底绕开第三方Cookie拦截。
解析网站如何通过 CDP 副作用（如 Runtime.enable 序列化泄露）检测 Puppeteer、Playwright 和 Selenium。
匿名凭证让你证明自己是真人，却不暴露可追踪身份或浏览器指纹，了解 Mozilla 新提案 PACT 的作用。
WebRTC 指纹读取你的编解码器列表和 SDP 提议，而非你的 IP。了解其原理、与 WebRTC 泄露的区别，以及如何减少它。
VPN 只会改变你的 IP，浏览器的时区和语言不会随之改变。了解应用如何综合这些信号识别你的真实地区，以及如何检查自己的设置。
了解为什么基于指纹的访客ID能在清除Cookie、切换无痕模式和更换VPN后依然保持不变，以及背后的关键信号。
通俗讲解 User-Agent 字符串：它长什么样、如何逐段读懂、为何仍写着 Mozilla，以及如何几秒内查看你自己的。
一份中立的检测视角清单：TLS、Canvas 噪声、字体、UA-CH 等 12 个信号，分辨真实浏览器与反检测配置文件。
Chrome 的 IP Protection 曾通过双跳代理，在无痕模式下对追踪者遮蔽你的 IP——直到 Google 宣布将其下线。本文讲解其原理。
一份完整的七步清单：逐项自查 UA、时区、GPU、字体与自动化标志，抢在检测系统标记你之前找出指纹矛盾。
解读 bot.sannysoft.com 和 CreepJS 到底检测了什么、如何看懂结果行，以及为什么通过测试不等于通过真实的检测系统。
移动浏览器指纹与桌面不同：设备像素比、传感器信号，以及 WebView 与 Safari 的差异，让手机 GPU 和字体熵值更低。
getClientRects() 和 getBoundingClientRect() 暴露的亚像素级布局差异可用于指纹识别——完全不需要触碰 Canvas。
GPU 渲染器字符串、操作系统版本与字体必须相互吻合。了解哪些组合在物理上不可能存在，以及它们为何会立即暴露伪造的指纹配置。
无痕窗口不仅会隐藏浏览历史，还会改变存储类 API 的行为方式，而这种差异正是网站借以判断你是否处于隐身模式的关键所在。
浏览器的时区和语言设置可能与 IP 所在地相矛盾。本文讲解这种矛盾的成因，以及网站如何借此识别 VPN。
了解 User-Agent Client Hints（UA-CH）的工作原理：低熵与高熵层级、Accept-CH 协商机制，以及对浏览器指纹识别的影响。
WebGPU 无需任何调试扩展就能暴露适配器厂商、架构与设备字符串。了解它如何形成新的指纹采集面及现有防护手段。
Canvas 指纹噪声若处理不当会适得其反。了解朴素随机化为何可被检测，以及 Brave 的 farbling 如何规避陷阱。
深入解析网站如何通过 CDP 痕迹、WebGL 渲染器和特性缺口检测 Selenium、Puppeteer、Playwright 等无头浏览器。
了解 TCP/IP 指纹的工作原理：TTL、窗口大小、MSS 与 TCP 选项顺序如何从握手中暴露你的操作系统，以及 p0f 和 JA4T 如何读取它们。
了解 HTTP/2 指纹的工作原理：SETTINGS 帧、窗口增量与伪标头顺序，以及 Akamai 指纹如何与 JA3/JA4 配合检测机器人。
了解网站如何通过 Canvas 噪声特征、GPU 渲染字符串不一致和 JS 引擎特征来检测反检测浏览器与指纹伪造行为。
了解为何浏览器信号矛盾——伪造的 UA 与 GPU、时区或语言设置相悖——会触发欺诈与机器人检测系统。
深入了解 TLS 指纹的工作原理，JA3 与 JA4 如何在网络层检测机器人和中间人代理，以及如何测试你自己的 TLS 握手。
音频指纹无需麦克风，仅凭 Web Audio API 即可识别你的设备。了解 AudioContext 指纹的工作原理与防御之道。
什么是浏览器内核，Blink、Gecko 和 WebKit 有何区别？看看你的浏览器究竟用哪种引擎，以及为何 user-agent 会说谎。
改 user-agent 几乎骗不了人。了解网站如何借助请求头顺序、Client Hints、JS 引擎探测和指纹矛盾识破伪装。
字体指纹通过你设备上已安装的字体来识别你。了解字体枚举与测量的原理，以及如何减少你暴露的信息。
网站通过 IP 黑名单、地理位置矛盾和数据包检测识别 VPN 与代理。了解主要方法，以及你为何会遇到屏蔽和验证码。
测速显示下载、Ping 和抖动——它们各是什么意思？看懂带宽、延迟与抖动，以及怎样的数值才算好。
HTTP 与 SOCKS、住宅与数据中心——各类代理在转发流量的方式和被检测的难易上各不相同。一份清晰的分类指南。
测速数字忽高忽低？看懂结果为何随服务器、时段、设备和工具而变，以及如何得到值得信赖的基准。
即使使用 VPN，WebRTC 协议也可能暴露你的真实 IP 地址。本文详细介绍 WebRTC 泄露的原理和防护方法。
Canvas 指纹是浏览器指纹技术中最强大的追踪手段之一。了解它是如何工作的，以及如何降低被追踪的风险。
探索网站如何检测自动化工具和爬虫程序，了解 WebDriver 检测、行为分析等技术的实现原理。
IP 地址可以暴露你的大致地理位置。本文分析 IP 定位的精度，以及如何保护自己的位置隐私。
全面对比 VPN、代理服务器和 Tor 网络的优缺点，帮助你选择最适合自己需求的隐私保护方案。
WebGL 不仅能用于炫酷的网页特效，还能成为追踪用户的手段。了解 WebGL 指纹如何工作，以及如何防范。
DNS 请求可能泄露你访问的网站信息。本文介绍 DNS 泄露的原理，以及如何使用 DNS over HTTPS 等技术保护隐私。
浏览器扩展可能拥有访问你所有网页数据的权限。了解如何评估扩展的安全性，保护你的浏览隐私。