浏览器指纹能“保鲜”多久？

指纹不是纹身，而是浏览器和设备“今天的样子”的一张快照，而这两者都在变：浏览器每隔几周更新，驱动和操作系统也会更新，你还可能接上一台显示器。那么，一份指纹能对追踪者有用多久？简短的回答是：单个取值很快过期，但整体面貌通常变得足够慢，仍然可以被持续追踪。

本文讨论的是你并非有意造成的变化。如果想了解主动清除 Cookie、使用无痕模式或开启 VPN 后还有什么能留下来，请看持久访客 ID。

要点速览

• 指纹由许多属性组成，每个属性的“保质期”不同：有的每次浏览器发版都变，有的几乎不变。
• 浏览器、显卡驱动、操作系统和字体的更新是漂移的常见原因；更换屏幕、调整缩放或跨时区出差也会。
• 追踪者不需要完全匹配。只要大部分属性一致、差异又能解释，新指纹就能关联到旧指纹。
• 没有统一的“过期日”：能被关联多久，取决于你的配置有多特殊、改动有多频繁。
• 你可以用 BrowserInsight 指纹检测中的“与上次相比”卡片观察自己的漂移。

哪些会变，哪些基本不变

可以把指纹看成保质期不同的几层。下面只是定性描述；目前没有可引用的公开页面给出覆盖全网的可靠数字。

属性	常见变化原因	稳定性
浏览器版本、User-Agent、Client Hints	每次发版	短命，但方向可预测（见 User-Agent 精简）
功能集与 API 支持	浏览器新版本（见引擎版本检测）	短命，单调递增
Canvas 与 WebGL 输出	显卡驱动或系统图形更新	中等：两次更新之间稳定
已安装字体	新软件、系统更新、语言包	中等
屏幕尺寸、像素比、缩放	外接显示器、窗口布局、无障碍缩放	因人而异
时区	出差旅行	旅途中变化，回来后恢复
平台、CPU 类别、首选语言	更换硬件、修改设置	长期稳定

整体规律比表中任何一行都重要。只增不减的浏览器版本并不可疑；每次加载页面都变的 Canvas 哈希才可疑。

追踪者如何应对漂移

简单粗暴的追踪者把所有内容哈希在一起，哈希一变就当成新访客。更好的做法是逐属性比较：字体、平台、语言、屏幕和 GPU 都一致，只有浏览器版本从 N 升到 N+1，那么把两次访问关联起来就很稳妥。

这个思路有学术实现：FP-Stalker，即 Vastel 等人在 IEEE S&P 2018 发表论文时公开的配套代码。它把“差异看起来像正常演变”的指纹匹配到一起，从而长期追踪同一个浏览器。本文不转述其准确率或稳定时长等数字，具体请看论文原文。

商业访客 ID 还会再加一层：把指纹与存储的标识符结合，这样即使指纹漂移，也能通过仍然存在的 Cookie 或 localStorage 值重新接上。详见 FingerprintJS 详解。

为什么随机化不是干净的解法

既然漂移会打断关联，为什么不每次访问都随机化指纹？因为随机化本身就能被看出来。例如向 Canvas 输出注入噪声，往往会与声称的硬件不一致，参见 Canvas 指纹噪声。W3C 指纹识别指南点明了根本问题：稳定、高熵的表面才使指纹识别成立，因此减少并统一浏览器暴露的信息，比伪装它更可靠。

如何测量自己的漂移

1. 运行指纹检测并记下结果。
2. 在浏览器更新、驱动更新或更换显示器之后再回来。
3. 查看“与上次相比”卡片，它会列出哪些值发生了变化。

工作方式：页面在本浏览器的 localStorage 中保存一份本地快照（Canvas、WebGL、音频与字体列表的哈希，以及 User-Agent、引擎与版本、时区、语言、屏幕尺寸）。不会上传任何内容，站点服务器端也不保存任何数据。它只与同一浏览器的上一次访问比较，因此无法跨浏览器追踪你，你也可以随时清除或关闭该快照。

想了解自己的配置在某一时刻有多特殊，可以试试 Cover Your Tracks（EFF 的说明页介绍了其方法）或 AmIUnique。你今天有多稀有，很大程度上决定了关联能持续多久；相关数学见指纹熵与匿名集。

常见问题

浏览器更新后指纹会变吗？ 会，至少与版本相关的部分会变。其他大多数属性不变，所以新指纹通常仍能关联到旧指纹。

指纹能持续多久？ 没有固定寿命。常见且未改动的配置混在人群里，即使稳定也很难追踪；特殊配置则能在许多小变化中依然被认出。

清除 Cookie 会重置指纹吗？ 不会。Cookie 与指纹是两回事，见持久访客 ID。

我能阻止基于漂移的关联吗？ 无法完全阻止。减少配置中的特殊之处，比叠加噪声更有效。可从浏览器指纹识别指南开始。

总结

指纹中的单个取值几天或几周就会过时，但追踪者看重的是整体模式，而整体模式变化缓慢。“更新后指纹变了”是意料之中的事，不等于获得了保护。测量自己的漂移，并把重点放在“不那么特殊”，而不只是“和上次不一样”。