JavaScript 禁用策略——什么时候禁用、怎么正确放宽

为什么 JavaScript 在 Tor 下更敏感

在普通浏览器里，JavaScript 只是一个功能增强组件；在 Tor Browser 里，JavaScript 是可能泄露你真实身份的攻击面：

1. 浏览器指纹：JavaScript 可以查询 Canvas、WebGL、字体、屏幕信息，组合出唯一标识
2. 网络请求：恶意脚本可以在后台偷偷发请求到你的真实 IP（绕过 Tor）
3. 漏洞利用：Tor Browser 基于 Firefox，Firefox 的 JavaScript 引擎（SpiderMonkey）偶尔会被发现 0day 漏洞
4. 跨域追踪：JavaScript 可以读取 Cookie、LocalStorage，实现跨站行为关联

Tor Browser 的反指纹设计（统一 User-Agent、Letterboxing、字体标准化）在 JavaScript 开启时才会主动生效——但 JavaScript 本身又给了网站绕过这些保护的能力。这是一个张力。

三种禁用策略

策略一：完全禁用（最安全级别）

所有网站 JavaScript 禁用。只有纯文本浏览能正常工作：

• 大多数现代网站无法交互
• 表单提交、按钮点击、搜索可能全部失效
• 图片、字体、图标也会被部分禁用

策略二：选择性禁用（较安全级别）

只禁用 HTTP 网站（非加密）的 JavaScript，允许 HTTPS 网站。

• HTTPS 是 Tor Browser 默认强制的（HTTPS Everywhere 扩展）
• HTTPS 网站比 HTTP 网站多了一层加密，降低了脚本可能携带攻击代码的概率
• 实际体验：绝大多数网站正常，只有 HTTP 老站点异常

策略三：全面允许（标准级别）

所有网站 JavaScript 允许。

• 完整网站体验
• 但风险敞口最大——如果访问的网站有恶意脚本，Tor Browser 的安全设计可能被绕过

遇到需要 JavaScript 的网站怎么办

你不需要切换安全级别（会影响所有网站），正确做法是针对单个网站临时放宽：

方法一：NoScript 临时信任

1. 打开 NoScript 图标菜单
2. 在当前请求脚本的域名旁点"临时信任"
3. 刷新页面
4. 用完后记得关闭 Tor Browser（NoScript 临时信任不会持久化）

方法二：手动提升安全级别（临时）

如果 NoScript 临时信任也不够用（某些最安全级别下的脚本还被禁用了），可以临时把安全级别升到"较安全"甚至"标准"，访问完该网站后立即降回原来的级别。

重要：不要长时间保持在"标准"级别。它在给你方便的同时也打开了最多的攻击面。

如何测试自己被 JavaScript 暴露了多少

可以用第三方测试网站：

• Browserleaks：browserleaks.com（测试指纹泄漏程度）
• Panopticlick：panopticlick.eff.org（EFF 官方的指纹测试）
• Cover Your Tracks：coveryourtracks.com

在 Tor Browser 的不同安全级别下分别跑一下，对比差异。你会发现从"标准"到"最安全"，暴露的指纹信息指数级减少。

Firefox 和 Tor Browser 的 JavaScript 策略对比

正确姿势总结