反指纹识别——为什么 Tor Browser 让你和所有人看起来一样
浏览器指纹是什么
当你访问一个网站时，网站在后台偷偷收集几十项关于你的浏览器和设备的信息。这些信息组合起来就是你的"浏览器指纹"——唯一到足以在数亿用户中识别出你。
常用指纹维度
| 维度 | 普通浏览器表现 | 可组合出的唯一值数量级 |
|---|---|---|
| 屏幕分辨率 | 因人而异（1920x1080, 2560x1440, 1366x768…） | 10+ 种 |
| 浏览器版本 | Chrome 128, Firefox 130, Safari 18… | 100+ 种 |
| 可用字体 | Windows 自带 50+，安装更多程序则更多 | 数千种 |
| Canvas 渲染 | 每个 GPU + 每个浏览器版本渲染微小差异 | 理论上无限 |
| WebGL 能力 | 显卡差异导致 WebGL 信息不同 | 数百种 |
| User-Agent 字符串 | 因人而异（Chrome/Firefox/Safari + 版本 + 操作系统） | 数百种 |
| 时区 | UTC-12 到 UTC+12 | 25 种 |
| 语言设置 | zh-CN, en-US, ja-JP… | 数十种 |
为什么 Tor Browser 的指纹策略不同
大多数反指纹浏览器（Brave、Firefox + 隐私扩展）的策略是随机化指纹——每次会话生成不同的随机属性，让追踪者无法持续跟踪你。
Tor Browser 的策略是强制统一指纹——让所有用户报告完全相同的属性。
统一 vs 随机化：
- 随机化：每个会话看起来不同，但仍能被识别为"某个使用随机化指纹的浏览器"的用户
- 统一：无法区分你和其他数百万 Tor 用户，你消失在人群中
Tor Browser 的反指纹手段
1. Letterboxing（窗口固定）
普通浏览器窗口可以自由拖拽、最大化、全屏化。Tor Browser 在地址栏下方强制了一个固定尺寸的内页区域（通常是 1000x800 或 1200x900），无论你怎么拖窗口，网页能看到的视口尺寸都是固定值。
这样追踪者就不会通过"这个人总是 1440x900"来识别你。
2. User-Agent 统一
Tor Browser 强制让所有用户报告相同的 User-Agent 字符串：
Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:128.0) Gecko/20100101 Firefox/128.0无论你实际用的是 Windows、macOS 还是 Linux，UA 都显示为 Windows Firefox。这样网站无法通过 UA 组合指纹。
3. 字体标准化
Tor Browser 限制网页能检测到的字体列表，只允许一小部分通用跨平台字体。这样无论你的电脑装了多少字体，Tor Browser 对网页报告的字体列表都是相同的。
4. Canvas/WebGL 输出统一
普通浏览器里，不同 GPU、不同操作系统、不同驱动版本渲染同一幅 Canvas 图会有微小像素差异。Tor Browser 的做法是：
- 标准安全级别：让 Canvas/WebGL 正常工作，但尽量标准化输出
- 较安全/最安全级别：直接禁用 WebGL 和 Canvas 指纹 API
5. 时区欺骗
Tor Browser 可以检测你访问的网站地理位置，然后把浏览器时区欺骗为该网站所在时区。这样美国网站看到的你是 UTC-5，中国网站看到的你是 UTC+8——不会通过时区泄漏你的真实位置。
6. 语言设置统一
Tor Browser 默认报告统一的语言设置（通常是英文），不受你系统语言影响。你可以在设置里改，但 Tor 项目强烈建议保持默认。
怎么验证自己被统一了
访问 EFF 的 Panopticlick 或 Cover Your Tracks：
- 普通浏览器：指纹唯一性评分通常是"特别独特"或"独特"
- Tor Browser（标准级别）：应该显示"与许多用户共享此指纹"
- Tor Browser（最安全级别）：指纹字段大幅减少，唯一性进一步降低
为什么不要安装额外扩展
Tor Browser 反指纹策略的根基是统一。如果你安装了一个额外扩展（比如 AdBlock、Dark Mode），这个扩展会向网页泄漏它自己的特征——而且每个用户的扩展组合都不同，直接摧毁了"统一"这个核心保护。
Tor Browser 默认只带三个扩展：NoScript、HTTPS Everywhere、Tor Launcher。不要加任何第四个。
Mullvad Browser 同样策略
Tor Project 与 Mullvad 合作开发的 Mullvad Browser 继承了 Tor Browser 全部的反指纹设计（Letterboxing、字体统一、UA 统一等），只是把 Tor 网络换成了 VPN。所以 Mullvad Browser + 可信 VPN 也是"统一指纹"策略。