我差点就信了，我把这种“分享群”的链路追完了：你点一下，它能记住你的设备指纹

我差点就信了——那条“分享群”里的链接，看起来不过是朋友发来的一个小福利，点开之后它把我的设备指纹悄悄记住了。我把这条链路从前端到后端一路追完，把能公开说明的细节都整理在下面，大家看完可以更清楚地判断哪些“转发拿红包”“拉人入群抽奖”的链接值得点，哪些最好别碰。

一：开头：一个看似无害的邀请 那是一个周末，微信群里有人转了一条“点此进群抽奖/领取礼品/开通会员”的短链接。页面风格和常见的活动页差不多，甚至声明“官方合作资源”，让我放松了警惕。页面要求“仅需点击一次并允许弹窗”，随后跳转成另一个域名，再继续跳。好奇心驱使我追查：这条链路到底在干什么？

二：我追到的链路——从短链接到指纹记录 大致流程如下（为便于理解，省去了具体域名）：

• 短链接服务：先把原始长链接压缩，便于在群里传播，短链本身会记录一次点击和来源。
• 跳转跟踪页：短链跳转到一个中转页，页面上有一个或多个重定向（HTTP 302/Meta Refresh/JS location），同时加载一些第三方脚本。
• 第三方/自家脚本收集环境信息：在中转页的 JS 脚本里，会同步或异步发送一个“采集请求”到跟踪服务器，携带当前页面可读取的各种信息（UA、屏幕分辨率、语言、时区、已安装字体信息、canvas/ WebGL 输出特征、浏览器插件/扩展特征、cookie/localStorage 状态等）。
• 服务器生成指纹 ID：跟踪服务器把收到的数据计算成一个指纹 ID，并把这个 ID 返回或写入浏览器（localStorage、IndexedDB、cookie、ETag 等）。
• 持续追踪与关联：后续任何载入同一跟踪脚本或请求到同一跟踪域名的页面，都可以读取这个指纹 ID，从而把不同页面、不同活动、不同广告投放方下的访问记录关联成一份“你”的画像。

三：它为什么能“记住”你的设备 和传统 cookie 不同，设备指纹是基于许多“偏好/环境细节”的组合。单一项不具备唯一性，但组合起来能达到高度区分度。常见的组合项包括：

• 浏览器和操作系统版本、userAgent
• 屏幕分辨率、色深、像素比
• 已安装字体与字体渲染差异（通过 canvas/text 测试）
• WebGL 或 canvas 渲染输出差异
• 时区与语言偏好
• 已开启或关闭的浏览器特性（cookie、Do Not Track）
• 可检测的插件或扩展指纹
• localStorage/IndexedDB 中残留的唯一标识

这些信息对于任何正常的页面都是可读取的，因此只要有 JS 在页面执行，就能采集到。更危险的一点：即便你清除 cookie、换 IP、重启浏览器，指纹往往还能使得服务器在很高概率上把这次访问和上次访问“认成同一个设备”。

四：为什么“分享群”格外好用 社交群里的短链接有两个优势：

• 高信任度：来自熟人或群内多人转发，会降低你对链接来源的怀疑。
• 爆发式传播：链路被多人转发后，原始的跟踪参数能在大量设备间快速传播，使得跟踪服务器能把不同人的访问信息迅速叠加分析，做出更精细的画像或欺骗性的社交证明（“已有10万人参与”之类的数据可能是指纹关联的结果）。

五：风险有哪些？

• 长期跟踪：即便清除 cookie，设备指纹也可能继续把你和先前行为联系起来。
• 精准推送与骚扰：一旦被归类，你会收到针对性更强的广告、消息，甚至诈骗信息。
• 关联跨设备/跨账号：结合登录信息或手机号，指纹能把匿名访问和真实身份关联起来。
• 数据滥用：指纹库一旦售卖或泄露，会用于更广泛的用户画像、信用评估或诈骗定向。

六：如何判断自己是否被“记住”了

• 打开浏览器开发者工具（Network/Console），关注是否有不明第三方域发起大量数据上报请求，尤其包含 canvas、fonts、fingerprint 等关键字。
• 观察 localStorage、IndexedDB、cookie 是否被写入陌生的 ID 或长期存在的键名。
• 在后续访问不同页面时，注意是否能看到同一追踪域名持续出现并带着同样的参数。

七：能做哪些防护？（实用、可操作的建议）

• 使用隐私防护更强的浏览器：Firefox（开启抗指纹设置）、Brave、或 Safari 的隐私模式在抗指纹上做得更好。
• 对可疑链接保持怀疑：群里红包/抽奖/福利类链接，先问清来源或直接通过官方渠道核实。
• 禁用或限制第三方脚本：用内容过滤器（uBlock Origin、uMatrix）拦截可疑脚本和第三方追踪器。
• 定期清理浏览器存储：清除 localStorage、IndexedDB 和 cookie，但注意单靠清除并不能完全解决指纹问题。
• 使用专门的隐私插件：像 Privacy Badger、NoScript 这类可以阻止未知的追踪脚本。
• 在访问敏感链接时用隔离的浏览器配置/不同浏览器或访客模式，避免长期绑定同一浏览配置。
• 操作系统和浏览器保持更新，某些浏览器会不断改进对指纹技术的防护。

八：结语：别被“便利的信任”麻醉 这类“分享群”的链路，看上去像是群体福利，实则是低成本、高回报的数据捕获渠道。它们之所以能做大，是因为信息传播快、信任成本低。点开之前多一秒思考，不仅能避免被盯上，也能减少无谓的隐私泄露。