什么是浏览器指纹？为什么一致性胜过随机性
网站如何不借助 Cookie 认出您的浏览器，指纹究竟有多独特，以及为什么一致的指纹胜过随机的指纹。
FingerBrowser 团队 更新于 阅读约 10 分钟
视频文字稿
您清除了 Cookie。您打开了无痕窗口。您甚至换了 IP 地址。可网站依然知道是您。
这就是浏览器指纹识别。
每次加载页面，您的浏览器都会悄悄透露几十项细节。您的屏幕。您的显卡。您的字体。您的时区和语言。无需任何授权，设备上也不会存储任何东西。
单独来看，每项细节都有数百万人与您相同。但组合在一起，就能迅速缩小范围。每一比特信息都能把人群减半，约 33 比特就足以区分地球上的每个人。
网站把这一切汇总成一个 ID，并在您下次访问时认出这个 ID。
银行用它来发现盗号登录。广告网络用它跨网站追踪您。平台则用它关联来自同一台设备的账户。
那为什么不把一切都随机化呢？因为随机的数值会相互矛盾。一个 Windows 浏览器，却配着只有 Mac 才有的显卡。时钟设在圣保罗，IP 地址却在法兰克福。Canvas 图像每次访问都在变，任何真实设备都不会这样。
研究人员已经证明，这些矛盾恰恰会暴露本想帮您隐藏的工具。
真实设备其实很“无聊”。各项细节彼此吻合，每次访问都保持不变。最安全的指纹不是随机的，而是一致的，稳定的，而且常见的。
想知道您的浏览器暴露了什么吗？来 fingerbrowser.com做个 30 秒的免费测试吧。
过去，只要清除 Cookie，您就能在网站上从头开始。如今这招已经不管用了。现代网站可以根据浏览器的外观和行为特征——也就是它的指纹——认出这个浏览器，即使您用的是无痕窗口也不例外，而且往往在您更换 IP 地址之后依然认得出来。
本文将为您介绍什么是浏览器指纹、它由哪些信号构成、研究表明它究竟有多独特，以及为什么指纹最重要的特性不在于独一无二，而在于一致性。
要点速览
- 浏览器指纹是网站能读取到的有关您浏览器和设备的各项细节的组合，例如屏幕、显卡、字体、语言和时区。
- 读取指纹无需任何授权，也不会在您的设备上存储任何东西，因此删除 Cookie 或打开无痕窗口都无法改变它。
- 多项大规模研究发现，样本中有三分之一到近 90% 的浏览器，其指纹与样本中其他任何浏览器都不相同。
- 靠随机化数值来隐藏自己是有风险的：随机数值会相互矛盾，而矛盾很容易被检测到。
- 好的指纹应当一致、稳定且常见：看起来和数百万台普通设备没什么两样。
什么是浏览器指纹识别？
浏览器指纹识别，是通过收集浏览器的大量细小信息，再把它们组合成一个标识符，从而认出这个浏览器的技术。其中一部分信息会随每次请求通过 HTTP 请求头自动发送，更多的信息则只需几行 JavaScript 就能读取。单独来看，每一项信息都有数百万人与您相同；但组合在一起，它们往往只对应唯一一个浏览器。
| 信号 | 透露的信息 | 示例 |
|---|---|---|
| User Agent 和 Client Hints | 浏览器、版本和操作系统 | Windows 11 上的 Chrome 141 |
| 屏幕 | 分辨率、像素比和色深 | 2560 × 1440，2× |
| 硬件 | CPU 核心数和大致的内存容量 | 10 核，8 GB |
| 图形（WebGL） | GPU 型号和驱动程序 | Apple M2 Pro |
| Canvas 和音频 | 由硬件、驱动程序和字体造成的细微渲染差异 | 稳定的哈希值，例如 9f3a…e21c |
| 字体 | 安装了哪些字体 | 检测到 214 种 |
| 语言和时区 | 偏好的语言和时钟设置 | en-US，America/Vancouver |
| 网络 | 您的 IP 地址，以及 WebRTC 额外暴露的任何地址 | 198.51.100.24 |
读取这些信息都不会弹出授权提示，它们也都不会存储在您的电脑上。正因如此，即使删除 Cookie、使用无痕浏览，指纹识别依然有效：根本没有什么可删的。
指纹识别如何一步步运作
- 采集：脚本在几毫秒内读取几十项数值，通常是在页面加载时完成。
- 组合：这些数值经过哈希运算，生成一个简短的标识符，例如
F2F8-E777-B20B。 - 匹配：将这个标识符与以前见过的标识符进行比对。实际系统并不要求完全匹配：研究人员借助 FP-Stalker 证明，即使指纹随浏览器更新而发生变化，仍然可以把它们关联起来；在他们的数据集中，浏览器平均可以被持续追踪 54 天。
您的浏览器指纹有多独特？
独特程度用可识别信息的比特数来衡量。每 1 比特都会让“可能是您”的浏览器数量减半：1 比特把人群一分为二，10 比特能把范围缩小到约 1,000 个浏览器中的 1 个，20 比特则缩小到约 100 万个中的 1 个。大约 33 比特就足以区分地球上的每一个人，因为 2³³ 约等于 86 亿。
三项大规模研究测量了真实指纹中独一无二的比例：
| 研究 | 指纹数量 | 独一无二的比例 |
|---|---|---|
| Panopticlick，EFF（2010） | 470,161 | 83.6%（启用 Flash 或 Java 时为 94.2%） |
| AmIUnique（2016） | 118,934 | 89.4%（移动端指纹为 81%） |
| Hiding in the Crowd（2018） | 2,067,942 | 33.6%（移动端指纹为 18.5%） |
这几项研究之间的差距值得关注。前两项研究的数据来自人们专门用来测试自身隐私的网站，而这类网站吸引的往往是配置特殊的用户。2018 年的研究则采集了法国最热门网站之一的访客数据，这是一群更普通的用户；而且那时浏览器也已经弃用了 Flash 这类过去会泄露大量信息的插件。手机最难区分，因为数百万部同型号的 iPhone 几乎所有特征都相同。
不过，有两点值得注意，这个较低的数字并不能让人高枕无忧。首先，即使指纹不是独一无二的，也能把您的范围缩小到一个小群体中，再结合您的 IP 地址，往往就足以认出您。其次，同一项研究还发现，非唯一的指纹很脆弱：只要改动几项属性，其中许多就会变得独一无二。
我们只需 30 秒的浏览器性格测试会估算您的 18 项信号组合有多稀有，让您了解自己的处境。
谁在使用浏览器指纹识别？
- 反欺诈和账户安全：银行、支付服务商和电商平台利用指纹来发现来自陌生设备的登录，或者同一台设备上一个接一个地开设新账户的情况。
- 机器人检测：反机器人服务会检查浏览器的各项细节是否与一台真实设备相符，而不是一个伪装成真人的自动化程序。
- 广告和追踪：借助指纹识别，广告网络无需 Cookie 就能跨网站追踪浏览器。2025 年 2 月，Google 不再禁止使用其广告产品的广告主进行指纹识别；英国数据保护监管机构 ICO（信息专员办公室）称此举“不负责任”。
- 账户关联：如果多个账户反复出现在同一个指纹下，平台就会把它们关联起来。那些合法运营多个账户的团队正是因此受到影响，比如为 20 个客户管理广告投放的营销机构，或在不同地区分别经营店铺的卖家：在平台看来，这些账户全都来自同一台设备。
在欧盟和英国，用于追踪的指纹识别与 Cookie 受同一条电子隐私（ePrivacy）规则约束。自 2014 年起，欧洲监管机构就一直表示，指纹识别属于《电子隐私指令》（ePrivacy Directive）第 5(3) 条的管辖范围。该条款规定，除非访问是提供用户所请求的服务所严格必需的，否则一般须征得用户同意。
简单粗暴的做法：全部随机化
最容易想到的办法，就是把每个值都随机化。许多简单的隐私扩展正是这样做的：这里换一个随机的 User Agent，那里给 Canvas 加一点噪声。
问题在于，随机化会制造矛盾，而矛盾远比任何单个数值更容易被检测到：
- User Agent 显示的是 Windows，显卡却是只有 Mac 才有的型号。
- 时钟设置为圣保罗时间，IP 地址却在法兰克福。
navigator.platform显示的是一种操作系统，Client Hints 显示的却是另一种。- 浏览器在 User Agent 中声称的是一个版本，在 Client Hints 中声称的却是另一个版本。
- 每次加载页面，Canvas 输出都会变化，而任何真实设备都不会这样。
这并不只是理论。2018 年，研究人员开发了 FP-Scanner，这是一套专门查找此类矛盾的测试工具。研究人员测试了多款修改指纹的工具，FP-Scanner 凭借这些工具自身引入的不一致之处识破了它们，在部分情况下，甚至还原出了这些工具试图隐藏的真实浏览器和操作系统。
真实设备其实很“无聊”：各项数值彼此吻合，每次访问都保持不变。一个独一无二却根本不可能存在的指纹，远比一个看起来与数百万台普通电脑无异的指纹更加显眼。
随机化只要做得足够谨慎，也能奏效。Brave 的“farbling”技术会按网站和会话分别生成种子，加入细微的随机变化。这样，同一个网站在整个会话期间看到的数值保持不变，而不同网站之间则无法把它们关联起来。这与每次加载页面都加入新噪声的做法截然不同。
如今的浏览器如何保护您
- Tor Browser 采取了与随机化相反的思路：让所有用户看起来尽可能一模一样，连窗口尺寸都统一为标准大小，这样就没有人会显得与众不同。
- Brave 如上文所述，会按网站和会话对部分数值进行随机化。也可以在我们的姊妹站 WebTraceCheck 的临时云浏览器里免安装试用。
- Firefox 145（2025 年 11 月）扩展了指纹防护功能。Mozilla 表示，这些防护让被识别为独一无二的用户比例减少了近一半。它们首先在无痕窗口和“严格”跟踪保护模式中推出。
- Safari 26（2025 年 9 月）会阻止已知的指纹识别脚本可靠地读取那些暴露设备特征的 API，例如屏幕尺寸、CPU 核心数和 2D Canvas。
无论您使用哪款浏览器，养成几个习惯都会有所帮助。保持浏览器为最新版本，并尽量接近默认设置。小心少见的字体和一长串扩展程序，它们会让您更加稀有。出于上述原因，避免使用“随机 User Agent”类扩展。
好的指纹是什么样的
一个可信的浏览器身份具备三个特性：
- 一致：每个信号都与其他所有信号相吻合，包括操作系统、User Agent、Client Hints、GPU、字体、屏幕、语言、时区和 IP 所在地。
- 稳定：每次使用该环境时，返回的都是相同的数值，就像一台真实设备一样。
- 常见：数值取自真实世界中的硬件，让环境融入人群，而不是引人注目。
这也正是指纹浏览器向管理多个账户的团队所承诺的：为每个账户提供一个独立且一致的环境。如果您正在比较各款指纹浏览器，我们的指纹浏览器大全汇总了用户对每一款的反馈，并附有每条来源的链接。
检测您自己的浏览器
想知道网站此刻能看到您的哪些信息吗？我们免费的浏览器指纹检测会读取检测系统所使用的同一批信号，并指出哪些信号相互矛盾，包括 WebRTC 泄露和时区不匹配。检测完全在您的浏览器中运行，我们不会存储检测结果。
如果想要更快速、更有趣的版本，不妨试试只需 30 秒的浏览器性格测试：它会告诉您，您的浏览器属于八种类型中的哪一种，以及大约有多少浏览器与您的配置相同。
常见问题
无痕模式能防止指纹识别吗？
不能。无痕窗口不会保留 Cookie 和浏览记录，但您的屏幕、显卡、字体、语言和时区完全不变，因此您的指纹几乎不会改变。
VPN 能防止指纹识别吗？
VPN 只会改变您的 IP 地址，其他一概不变。指纹的其余部分保持原样，而且如果时区与 VPN 所在位置不符，这本身就可能引人注目。
浏览器指纹识别合法吗？
这取决于用途和所在地区。反欺诈和安全防护是被广泛认可的用途。在欧盟和英国，用于广告或追踪的指纹识别与 Cookie 同等对待，通常需要征得您的同意。
我可以更改自己的浏览器指纹吗？
您可以通过更换浏览器、设备或设置来改变其中一部分。但随机地更改它往往会适得其反。目标不是每次访问都换一个不同的指纹，而是拥有一个看起来像普通设备的指纹。
参考来源
- Peter Eckersley，How Unique Is Your Web Browser?，Privacy Enhancing Technologies Symposium，2010。
- Pierre Laperdrix、Walter Rudametkin 和 Benoit Baudry，Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints，IEEE Symposium on Security and Privacy，2016。
- Alejandro Gómez-Boix、Pierre Laperdrix 和 Benoit Baudry，Hiding in the Crowd: an Analysis of the Effectiveness of Browser Fingerprinting at Large Scale，The Web Conference，2018。
- Antoine Vastel、Pierre Laperdrix、Walter Rudametkin 和 Romain Rouvoy，FP-Scanner: The Privacy Implications of Browser Fingerprint Inconsistencies，USENIX Security Symposium，2018。
- Antoine Vastel、Pierre Laperdrix、Walter Rudametkin 和 Romain Rouvoy，FP-STALKER: Tracking Browser Fingerprint Evolutions，IEEE Symposium on Security and Privacy，2018。
- Pierre Laperdrix、Nataliia Bielova、Benoit Baudry 和 Gildas Avoine，Browser Fingerprinting: A survey，ACM Transactions on the Web，2020。
- European Data Protection Board，Guidelines 2/2023 on the technical scope of Art. 5(3) of the ePrivacy Directive，2024。
- Information Commissioner’s Office，Our response to Google’s policy change on fingerprinting，2024。
- Mozilla，Firefox expands fingerprint protections，2025。
- WebKit，News from WWDC25: Web technology coming this fall in Safari 26 beta，2025。
- Brave，Fingerprinting defenses 2.0。