WebRTC IP 泄露：换了代理为什么还能"被打回原形"
做亚马逊的朋友老周，花小一千买了住宅代理，客户端里显示一切正常。直到有一天他在检测网站上看了一眼，发现页面里同时出现了两个 IP：一个美国，一个中国。美国的那个是他买的代理，中国的那个，是他自己家的宽带。
他当时没当回事。直到第三家店铺因为"关联"被冻结，他才想起那个诡异的页面。
这不是个例。我帮客户排查账号问题时发现，大多数"换了代理还被封"的案例，问题都不在代理质量，而在浏览器自己的一条"后门"——WebRTC。这篇把它讲透：它怎么绕过代理、泄露了有什么后果、怎么自查、怎么堵上。
WebRTC 是浏览器的一扇"消防通道"，代理管不着
把代理想象成小区的门卫，把 WebRTC 想象成消防通道——门卫管得住大门，管不住消防通道里直通你家的暗门。
具体到技术层面，两条路分工完全不同：
- 代理接管的是"网页请求"这条大路，也就是 HTTP/HTTPS 流量。你以为"所有流量都走了代理"，其实只是网页浏览这一部分。
- WebRTC 走的是浏览器内部的实时通信机制，用 STUN/ICE 协议（基于 UDP）直接问外网服务器"我的公网地址是多少"。这个过程发生在浏览器内核里，代理工具根本看不见，自然也拦不住。
这就是老周那次"两个 IP 并存"的真相：网页请求走了美国代理，WebRTC 却悄悄把家庭宽带地址报了出去。
哪些场景最容易踩雷？视频通话、语音社交、在线协作这类实时通信功能是重灾区；电商和社媒平台平时看着不触发，但会在你登录、支付这类关键时刻静默探测——防不胜防。
一个 IP 泄露，怎么牵出一整批账号？
老周的案例就是最好的说明：
- 关联就这么坐实了。 第一家店铺登录时，平台通过 WebRTC 看到了他的家庭 IP；第二家店铺登录时，又看到同一个家庭 IP。两个"互不相干"的店铺背后连着同一根网线——"关联"两个字就这么写在了风控档案里。
- 然后就是批量处理。 关联一旦成立，一个账号出事，同一主体下的其他店铺、广告账户、收款账户全被牵连，一倒就是一片。
- 最麻烦的是洗不掉。 泄露的不只是 IP，还有真实地理位置和运营商信息。这些数据一旦进了风控档案，换环境、换代理都很难抹掉。
很多卖家把"换代理"当成万能药，恰恰忽略了：代理能换掉"网络身份"，换不掉浏览器自己报出去的"真实地址"。
2 分钟自查：你的真实 IP 有没有在"裸奔"
不用拆浏览器、不用装软件，打开任意一个 IP 检测网站（ipleak.net、BrowserScan 都行），三步就能看清：
- 先测一次"裸奔状态"。 挂着自己的家用网络打开检测页，记下页面显示的 IP——这是你的"真实底牌"。
- 挂上代理再测一次。 开启代理，刷新同一个页面。
- 对比 WebRTC 分栏。 如果这一栏里出现了你家用网络的 IP，说明后门开着；如果显示的是代理 IP 或空白，说明这层防护是通的。
这里有个大多数人都会踩的盲区：检测页往往同时显示好几栏（IP、DNS、WebRTC），很多人只盯最显眼的"IP 一栏"，看到变成美国就放心了——真正藏雷的 DNS、WebRTC 分栏反而没人看。
想堵上这扇后门，正确姿势是什么？
先说三个"想当然"的尝试，为什么都行不通：
- 装拦截插件：多数 WebRTC 拦截插件只挡一部分触发路径，遇到新场景照样漏。
- 换更贵的代理或 VPN：代理管网络层，管不到浏览器内核，换再贵的也没用（这点在指纹浏览器 vs VPN那篇聊过）。
- 直接把 WebRTC 关掉：能堵死，但视频通话、在线会议这些功能全废，属于因噎废食。
真正治本的方案是从浏览器内核层处理：指纹浏览器直接修改 WebRTC 相关 API 的行为，让网页脚本拿不到你的真实地址。以 MasBrowser 为例，创建环境时在指纹设置里把 WebRTC 选为"禁止"，浏览器就不会再通过 WebRTC 探测本机网络接口。完整的独立环境与指纹隔离配置，可以在 MasBrowser 多账号安全管理页面 查看。
配置完再回检测页看一遍。 确认 WebRTC 分栏里不再出现真实 IP，这扇后门才算真正关上。
常见问题
WebRTC 泄露和 DNS 泄露是一回事吗？
不是。DNS 泄露是代理对 DNS 查询处理不彻底，请求走了本地运营商；WebRTC 泄露是浏览器原生功能绕过代理直接报 IP。两者都暴露真实网络环境，但路径不同，检测页也是分开显示的。
换了住宅代理，WebRTC 还会泄露吗？
会。泄露和代理类型无关——只要浏览器 WebRTC 功能没被正确处理，无论住宅还是机房代理，它都能绕过隧道报真实 IP。重点是堵住 WebRTC，不是换更贵的代理。
把 WebRTC 设成"禁止"，会影响正常使用吗？
基本不影响。绝大多数网页应用（电商、社媒、办公）用不到 WebRTC；只有视频通话、在线会议、P2P 传输类功能会受影响，这类场景单独建一个不禁止 WebRTC 的环境就行。
检测页全绿，就绝对安全了吗？
说明这一项防护到位了。但多账号安全是"组合拳"：WebRTC 只是网络层一环，还要配合指纹隔离、代理绑定、行为一致性一起看，单点绿色不代表整体安全。
结语
换了代理还被封，十有八九不是代理的锅，而是浏览器这扇"消防通道"没堵上——它绕过代理，把你的真实地址直接报给了平台。
好消息是解决方案不复杂：从浏览器内核层处理 WebRTC，配置完再检测一次确认。免费版就有 2 个环境配额，下载 MasBrowser，建一个环境把 WebRTC 设为"禁止"，测一次看真实 IP 是否还在——这一步，值得在每一个账号上做。
