CreepJS 指纹检测详解：比 Whoer 更细的维度
做多账号的朋友多半遇到过这种憋屈：Whoer 测出来接近满分，IP、DNS、WebRTC 全部绿灯，账号该封还是封了。问题出在哪？其实你可能缺了一次更狠的检测 —— CreepJS。
和常规检测工具不一样，CreepJS 不是给指纹"打分排名"，而是专门干一件事：验证你的浏览器有没有在"撒谎"。这篇文章讲清楚它凭什么被称为最严苛的指纹检测器之一、怎么看它的检测结果、以及它应该排在你的验证流程的哪一步。
先分清两类检测工具：你处在哪一层
指纹检测工具有两派（各工具的整体盘点在指纹检测工具盘点一文有横向对比，这里讲层次差异）：
- 第一派：看"值"。Whoer、BrowserScan 这类工具检查各项参数的数值 —— IP 在哪、时区对不对、WebRTC 有没有泄露，然后给个分数。它们回答的是"你的伪装成什么样"。
- 第二派：验"真伪"。CreepJS 属于这一派。它不关心你伪装成谁，它盯着的是另一个问题 —— 你的参数之间是否自洽、API 是否被人动过手脚。它回答的是"你的伪装有没有破绽"。
用个通俗的说法：常规工具像体检（量血压、量体温），CreepJS 像测谎仪（听你说话前后矛盾没有）。体检各项正常的人也可能被测谎仪抓出破绽 —— 这就是为什么"Whoer 满分仍然被封"：平台的风控逻辑里，除了看参数，还要看参数可不可信。
CreepJS 的杀手锏：Lies（谎言检测）
CreepJS 最出名的能力就是 Lies 检测 —— 专门识别浏览器的原生 API 是否被脚本篡改过。原理用大白话解释：
- 伪造指纹一定会改代码：想让 Canvas 输出不同的图像、想让 WebGL 报不同的显卡，指纹浏览器必须在 JS 层面"修改"这些函数的行为。
- 修改会留痕迹：JS 里每个原生函数都有一段原始代码，改过的函数经不起两个探测 —— ①
toString()检查（原生的函数 toString 出来应该是function xxx() { [native code] }，被包装过的会露出自定义代码）；②调用行为异常（比如连续两次调同一采集函数，输出却不一致，说明中间被拦截处理过）。 - CreepJS 把这些痕迹列成清单：你的环境里有多少处 API 被 hook 过、分别是哪些函数 —— 它会一项项告诉你。
对多账号运营者来说这个信息价值极大：平台风控用的正是类似的检测逻辑 —— 谁的环境里"谎话"越多，谁就越容易被识别为指纹浏览器用户。普通检测工具的满分只能说明参数齐全，Lies 数量才能说明伪装质量。
它还有几个独门维度：交叉验证真实引擎
除了 Lies，CreepJS 还有几个别家没有的角度（都是围绕"真实性"展开）：
- Worker 对比：在 Web Worker 的独立线程里重新采集一遍指纹，与主线程的结果交叉比对 —— 如果两者不一致，说明主线程的数据被动过手脚。
- 引擎特征校验：通过浏览器引擎的一些已知怪癖（quirks）判断你声称的 UA 是否匹配真实的引擎行为 —— 比如 UA 声称自己是某版本 Chrome，但某些 JS 行为特征却对不上那个版本。
- 原型链与数据完整性：检查对象的原型链是否被污染、缓存数据是否一致 —— 层层交叉比对，专找"表面一致、细节露馅"的地方。
这些维度的共同点是：不是看某个值对不对，而是看整个环境"是不是一台真正的浏览器" —— 这是 Whoer/BrowserScan 完全不覆盖的能力。
打开 CreepJS 怎么看结果？盯三处就够了
访问 CreepJS 页面等待检测完成（首次运行要十几秒到几十秒，它在后台跑大量交叉验证），然后重点看三处（具体区块布局以实际页面为准）：
- Lies 列表：数量越少越好，理想状态是接近零条；每一项都会标注哪个 API 被篡改及疑似原因 —— 这里是你了解自己环境"伪装质量"的最直接窗口。
- Trust Score / 信任等级：CreepJS 会给出一个综合信任评价 —— 结合 Lies 数据和其他验证结果。等级不高不用慌，重点是看扣分项是什么。
- 各维度的一致性：Canvas、字体、worker、引擎等信息块互相之间的自洽程度 —— 出现明显矛盾的模块要重点关注。
一个重要提醒：CreepJS 极其严格，没人能在它面前拿到"完美报告" —— 部分功能再优秀的指纹浏览器也会露出一些改动痕迹。所以不要追求"Lies 为零"，而是把它当作比较工具：同一台机器的多个环境互相对比、调整前后对比 —— Lies 更少的环境就是更好的环境。
发现 Lies 之后怎么办？指纹浏览器能解决吗
这是最关键的问题：检测出环境里有 Lies，下一步做什么？ 直接给结论 —— MasBrowser 这类成熟指纹浏览器能缓解、能收敛，但没有人能承诺清零。原因很简单：CreepJS 与指纹浏览器是持续的攻防关系 —— 检测方不断寻找新的篡改痕迹（比如新的探测方法），防护方不断改进注入方式让痕迹更隐蔽；这不是一场"谁最终赢"的比赛，而是谁的版本迭代跟得上。
落到实操层面，按优先级做四件事：
- ① 用产品最新版本。指纹浏览器的指纹注入方式会随平台风控升级持续迭代 —— 旧版本在 CreepJS 上的表现可能明显差于新版。升级到最新版再测一次，是最便宜的优化手段（更新内容可在所用产品的官网或客服处确认）。
- ② 对比法选出最优配置。同一台电脑建 2-3 个环境（相同代理、不同配置），逐个跑 CreepJS 对比 Lies 数量 —— 表现最好的那个配置，就是你的"黄金模板"，后续建新环境都按它的参数复用。
- ③ 分级使用策略。Lies 更少的环境分配给高价值账号（主力店铺、广告账户）；容忍度高的操作（试水号、临时任务）用普通环境 —— 让有限的"最干净"用在刀刃上。
- ④ 把检测细节反馈给官方。把 CreepJS 报出的具体 Lies 项截图发给所用指纹浏览器的客服 —— 成熟产品会把这类反馈纳入后续版本的优化清单。
注意最后一层：每改一次配置，重新跑一遍 CreepJS 做前后对比 —— 确认改动真的变好了，而不是"感觉应该好了"。数据说话，比任何技巧都可靠。
放进你的验证流程：三层漏斗怎么搭
CreepJS 应该放在检测流程的哪一步？推荐这样排（前两层在指纹浏览器怎么验证隔离效果一文的"ip-api + BrowserScan 双工具实测"里有详细流程）：
- 第一层：ip-api 查网络层 —— IP 地区、时区匹配了吗？（成本最低，先排除低级错误）
- 第二层：BrowserScan 查参数层 —— UA、Canvas、WebGL、字体等参数齐全吗、有无泄露警告？
- 第三层：CreepJS 验真实层 —— 参数装得像不像真的？Lies 有多少？
三层分别对应"你在哪 → 你是谁 → 你是不是真的" —— 只有三层全绿，才敢把高价值账号放进这个环境。批量建环境的团队可以把这套漏斗做成 SOP：每个新环境上线前三步走一遍，第四步才是登录账号。
常见问题
CreepJS 是免费的吗？
是。CreepJS 是开源项目，网页版免费使用，不需要注册 —— 这也是很多人不知道它但用过都说狠的原因：它没有任何商业动机给你"好看"的分数。
CreepJS 显示很多 Lies 正常吗？
非常正常 —— 几乎所有的指纹浏览器都会在某处留下 API 修改痕迹，完全为零的目标既不现实也没必要。正确用法是把 CreepJS 当作对比基准：环境 A 的 Lies 比 B 少，就用 A 登录更有价值的账号。
CreepJS 能检测出我是用的哪款指纹浏览器吗？
它不直接给出"你用了 XX 浏览器"的结论，但它暴露的 Lies 细节（哪些 API 被改、怎么改的）确实能间接反映所用产品的实现水平 —— 这也是为什么一些厂商关注自家产品在 CreepJS 上的表现。
看到 Lies 很多该怎么办？
先按上文「发现 Lies 之后怎么办」的四步走：升级最新版本 → 对比法选最优配置 → 高价值账号分级使用 → 检测细节反馈官方。另外别过度焦虑：Lies 是所有指纹浏览器共有的现象，你的竞争对手也一样 —— 追求的是比对手更干净，而不是零。
CreepJS 替代 Whoer 吗？
不替代，互补。Whoer 类工具快（几秒出结果）、覆盖 IP/DNS/WebRTC 这些网络层项，适合日常快速巡检；CreepJS 慢而深（几十秒跑完），适合关键环境上线前的深检。日常用 Whoer，关键节点加跑 CreepJS —— 两层防护都不贵。
在哪里下载安全的指纹浏览器？
务必从所用指纹浏览器的官网下载 —— 第三方站点、网盘分享的安装包存在捆绑插件甚至二次打包的风险，装了来路不明的版本，检测做再多也白搭。下载前核对官网域名拼写（钓鱼站点常仿冒官网），安装后如果杀毒软件告警或界面异常，立即停止使用并从指纹浏览器官网重新获取正版。
结语
CreepJS 补上了指纹验证体系里最难也最重要的一环：参数可以堆得漂亮，但破绽藏在细节里 —— Lies 检测、Worker 交叉验证、引擎特征校验，层层逼问"你是不是真的"。
把它加入你的验证流程并不增加多少成本：ip-api 查网络 → BrowserScan 查参数 → CreepJS 验真实，三层漏斗几分钟走完，换来的是"敢把高价值账号放进去"的底气。记住那个最重要的心态转变：不必追求零破绽，要用对比的方式让环境越来越好。
免费版 2 个环境配额，正好拿来做对比实验：建两个环境跑一遍三层漏斗，看哪个的 Lies 更少 —— 从指纹浏览器官网下载 MasBrowser，从今天开始用"测谎仪"审视你的环境。
