CreepJS 指紋檢測詳解：比 Whoer 更細嘅維度

做多帳號嘅朋友多半遇到過呢種憋屈：Whoer 測出嚟接近滿分，IP、DNS、WebRTC 全部綠燈，帳號照封還係封咗。問題出喺邊度？其實你可能缺咗一次更狠嘅檢測——CreepJS。

同常規檢測工具唔一樣，CreepJS 唔係畀指紋「打分排名」，而係專門做一件事：驗證你嘅瀏覽器有冇喺「講大話」。呢篇文章講清楚佢憑乜被稱為最嚴苛嘅指紋檢測器之一、點睇佢嘅檢測結果、以及佢應該排喺你驗證流程嘅邊一步。

先分清兩類檢測工具：你處於邊一層

指紋檢測工具有兩派（各工具嘅整體盤點喺指紋檢測工具盤點一文有橫向對比，呢度講層次差異）：

• 第一派：睇「值」。Whoer、BrowserScan 呢類工具檢查各項參數嘅數值——IP 喺邊、時區啱唔啱、WebRTC 有冇洩露，然後畀個分數。佢哋回答嘅係「你嘅偽裝成點樣」。
• 第二派：驗「真偽」。CreepJS 屬於呢一派。佢唔關心你偽裝成邊個，佢盯住嘅係另一個問題——你嘅參數之間係咪自洽、API 有冇俾人郁過手腳。佢回答嘅係「你嘅偽裝有冇破綻」。

用個通俗嘅講法：常規工具似體檢（量血壓、量體溫），CreepJS 似測謊儀（聽你講嘢前後矛盾未）。體檢各項正常嘅人都可能被測謊儀抓出破綻——呢個就係「Whoer 滿分仍然被封」嘅原因：平台嘅風控邏輯入面，除咗睇參數，仲要睇參數可唔可信。

CreepJS 嘅殺手鐧：Lies（謊言檢測）

CreepJS 最出名嘅能力就係 Lies 檢測——專門識別瀏覽器嘅原生 API 是否被腳本篡改過。原理用大白話解釋：

• 偽造指紋一定會改代碼：想令 Canvas 輸出唔同嘅圖像、想令 WebGL 回報唔同嘅顯示卡，指紋瀏覽器必須喺 JS 層面「修改」呢啲函數嘅行為。
• 修改會留痕跡：JS 入面每個原生函數都有一段原始代碼，改過嘅函數經唔起兩個探測——①toString() 檢查（原生嘅函數 toString 出嚟應該係 function xxx() { [native code] }，被包裝過嘅會露出自訂代碼）；②調用行為異常（例如連續兩次調同一採集函數，輸出卻不一致，說明中間被攔截處理過）。
• CreepJS 將呢啲痕跡列成清單：你嘅環境入面有幾多處 API 被 hook 過、分別係哪些函數——佢會一項項話你知。

對多帳號營運者嚟講呢個資訊價值極大：平台風控用嘅正正係類似嘅檢測邏輯——誰嘅環境入面「大話」越多，邊個就越容易被識別為指紋瀏覽器用戶。普通檢測工具嘅滿分只能說明參數齊全，Lies 數量先至說明偽裝質素。

佢仲有幾個獨家維度：交叉驗證真實引擎

除咗 Lies，CreepJS 仲有幾個別家冇嘅角度（都圍繞「真實性」展開）：

• Worker 對比：喺 Web Worker 嘅獨立執行緒入面重新採集一次指紋，與主線程嘅結果交叉比對——如果兩者唔一致，說明主線程嘅數據被動過手腳。
• 引擎特徵校驗：透過瀏覽器引擎嘅一些已知怪癖（quirks）判斷你聲稱嘅 UA 是否匹配真實嘅引擎行為——例如 UA 聲稱自己係某版本 Chrome，但某些 JS 行為特徵卻對不上嗰個版本。
• 原型鏈與數據完整性：檢查物件嘅原型鏈是否被污染、緩存數據是否一致——層層交叉比對，專搵「表面一致、細節露餡」嘅地方。

呢啲維度嘅共同點係：唔係睇某個值啱唔啱，而係睇成個環境「係咪一部真正嘅瀏覽器」——呢個係 Whoer/BrowserScan 完全唔覆蓋嘅能力。

打開 CreepJS 點睇結果？盯三處就夠

訪問 CreepJS 頁面等待檢測完成（首次運行要十幾秒到幾十秒，佢喺後台跑大量交叉驗證），然後重點睇三處（具體區塊佈局以實際頁面為準）：

• Lies 列表：數量越少越好，理想狀態係接近零條；每一項都會標注哪個 API 被篡改及疑似原因——呢度係你了解自己環境「偽裝質素」嘅最直接窗口。
• Trust Score / 信任等級：CreepJS 會畀出一個綜合信任評價——結合 Lies 數據同其他驗證結果。等級不高唔使慌，重點係睇扣分項係乜。
• 各維度嘅一致性：Canvas、字體、worker、引擎等資訊塊互相之間嘅自洽程度——出現明顯矛盾嘅模組要重點關注。

一個重要提醒：CreepJS 極其嚴格，冇人能喺佢面前攞到「完美報告」——部分功能再優秀嘅指紋瀏覽器都會露出一些改動痕跡。所以唔好追求「Lies 為零」，而係將佢當作比較工具：同一部機嘅多個環境互相對比、調整前後對比——Lies 更少嘅環境就係更好嘅環境。

發現 Lies 之後點算？指紋瀏覽器解決到嗎

呢個係最關鍵嘅問題：檢測出環境入面有 Lies，下一步做乜？ 直接畀結論——MasBrowser 呢類成熟指紋瀏覽器可以緩解、可以收斂，但冇人能承諾清零。原因好簡單：CreepJS 同指紋瀏覽器係持續嘅攻防關係——檢測方不斷搵新嘅篡改痕跡（例如新嘅探測方法），防護方不斷改進注入方式令痕跡更隱蔽；呢場唔係「誰最終贏」嘅比賽，而係誰嘅版本迭代跟得上。

落到實操層面，按優先級做四件事：

• ① 用產品最新版本。指紋瀏覽器嘅指紋注入方式會隨平台風控升級持續迭代——舊版本喺 CreepJS 上嘅表現可能明顯差過新版。升級到最新版再測一次，係最平嘅優化手段（更新內容可喺所用產品嘅官網或客服處確認）。
• ② 對比法揀出最優配置。同一部電腦建 2-3 個環境（相同代理、不同配置），逐個跑 CreepJS 對比 Lies 數量——表現最好嘅嗰個配置，就係你嘅「黃金模板」，之後建新環境都按佢嘅參數複用。
• ③ 分級使用策略。Lies 更少嘅環境分配畀高價值帳號（主力店舖、廣告帳戶）；容忍度高嘅操作（試水號、臨時任務）用普通環境——令有限嘅「最乾淨」用在刀刃上。
• ④ 將檢測細節反饋畀官方。將 CreepJS 報出具體 Lies 項截圖發畀所用指紋瀏覽器嘅客服——成熟產品會將呢類反饋納入之後版本嘅優化清單。

注意最後一層：每改一次配置，重新跑一次 CreepJS 做前後對比——確認改動真係變好咗，而唔係「感覺應該好咗」。數據說話，比任何技巧都可靠。

放入你嘅驗證流程：三層漏斗點搭

CreepJS 應該放喺檢測流程嘅邊一步？推薦咁樣排（前兩層喺指紋瀏覽器怎麼驗證隔離效果一文嘅「ip-api + BrowserScan 雙工具實測」入面有詳細流程）：

1. 第一層：ip-api 查網絡層——IP 地區、時區匹配咗未？（成本最低，先排除低級錯誤）
2. 第二層：BrowserScan 查參數層——UA、Canvas、WebGL、字體等參數齊全嗎、有冇洩露警告？
3. 第三層：CreepJS 驗真實層——參數裝得似唔似真嘅？Lies 有幾多？

三層分別對應「你喺邊 → 你係邊個 → 你係咪真嘅」——只有三層全部綠燈，先敢將高價值帳號放入呢個環境。批量建環境嘅團隊可以將呢套漏斗做成 SOP：每個新環境上線前三步走一次，第四步先係登入帳號。

常見問題

CreepJS 係免費嘅嗎？

係。CreepJS 係開源項目，網頁版免費使用，唔使註冊——呢個亦係好多人不知道佢但用過都話狠嘅原因：佢完全冇商業動機畀你「好看」嘅分數。

CreepJS 顯示好多 Lies 正常嗎？

非常正常——幾乎所有嘅指紋瀏覽器都會喺某處留下 API 修改痕跡，完全為零嘅目標既唔現實亦冇必要。正確用法係將 CreepJS 當作對比基準：環境 A 嘅 Lies 比 B 少，就用 A 登入更有價值嘅帳號。

CreepJS 能檢測出我用緊哪款指紋瀏覽器嗎？

佢唔直接給出「你用了 XX 瀏覽器」嘅結論，但佢暴露嘅 Lies 細節（哪些 API 被改、點改嘅）確實能間接反映所用產品嘅實現水平——呢個亦係為甚麼一些廠商關注自家產品喺 CreepJS 上嘅表現。

睇到 Lies 好多應該點算？

先按上文「發現 Lies 之後點算」嘅四步走：升級最新版本 → 對比法揀最優配置 → 高價值帳號分級使用 → 檢測細節反饋官方。另外唔好過度焦慮：Lies 係所有指紋瀏覽器共有嘅現象，你嘅競爭對手都一樣——追求嘅係比對手更乾淨，而唔係零。

CreepJS 替代 Whoer 嗎？

唔替代，互補。Whoer 類工具快（幾秒出結果）、覆蓋 IP/DNS/WebRTC 呢啲網絡層項，適合日常快速巡檢；CreepJS 慢而深（幾十秒跑完），適合關鍵環境上線前嘅深檢。日常用 Whoer，關鍵節點加跑 CreepJS——兩層防護都唔貴。

喺邊度下載安全嘅指紋瀏覽器？

務必由所用指紋瀏覽器嘅官網下載——第三方網站、網盤分享嘅安裝包存在捆綁插件甚至二次打包嘅風險，裝咗來路不明嘅版本，檢測做再多都白搭。下載前核對官網域名拼寫（釣魚站點常仿冒官網），安裝後如果防毒軟件告警或界面異常，立即停止使用並由指紋瀏覽器官網重新獲取正版。

結語

CreepJS 補上了指紋驗證體系入面最難亦最重要嘅一環：參數可以堆得靚，但破綻藏喺細節入面——Lies 檢測、Worker 交叉驗證、引擎特徵校驗，層層逼問「你是不是真嘅」。

將佢加入你嘅驗證流程並唔增加幾多成本：ip-api 查網絡 → BrowserScan 查參數 → CreepJS 驗真實，三層漏斗幾分鐘走完，換來嘅係「敢將高價值帳號放入去」嘅底氣。記住嗰個最重要嘅心態轉變：不必追求零破綻，要用對比嘅方式令環境越來越好。

免費版 2 個環境配額，啱好用嚟做對比實驗：建兩個環境跑一次三層漏斗，看哪个嘅 Lies 更少——由指紋瀏覽器官網下載 MasBrowser，由今日開始用「測謊儀」審視你嘅環境。