打开任何一个伪装度检测网站，伪装输入你的度检浏览器UA，几秒钟后你会拿到一个百分比。测网60%以下算“裸奔”，伪装90%以上算“隐形”。度检这个数字到底怎么算出来的测网，多数人没关心过。伪装

我最早接触这类工具是度检两年前。当时用Python写爬虫，测网目标站点频繁返回403。伪装朋友丢来一个链接，度检说“先测测你的测网伪装度”。页面简陋得像是伪装2005年的产物，白底黑字，度检一个输入框，测网一个按钮。我把requests库默认的UA粘进去，结果是23%。页面下方列了一长串“暴露项”：Accept-Language是en-US，Sec-Fetch-Mode是cors，Connection是keep-alive。每一项后面都跟着一句“真实浏览器不会这样”。

伪装度检测的核心逻辑其实不复杂。网站维护着一个“正常浏览器特征库”，把你提交的请求头和库里的样本做比对。差异项越多，伪装度越低。关键在于，这个“正常”的定义一直在变。Chrome 120和Chrome 90的默认请求头不一样，Windows 10和Windows 11的Sec-CH-UA平台标识也不同。检测网站如果三个月不更新特征库，给出来的分数就没有参考价值。

有个细节很少有人提：伪装度检测网站本身也在收集你的指纹。你打开页面的那一刻，它已经拿到了你的真实UA、屏幕分辨率、时区、Canvas哈希。输入框里填的东西只是它想让你以为它在看的部分。真正在做伪装的人，不会用在线检测工具——那等于把底牌亮给第三方。本地跑一个开源的特征比对脚本，或者直接抓真实浏览器的请求日志，比任何在线工具都靠谱。

我见过最离谱的一个检测站，把“Accept-Encoding: gzip, deflate, br”判为伪装特征，理由是“真实浏览器不会主动声明br”。实际上Chrome从51版开始就默认支持Brotli。这种误判会让新手陷入无意义的参数调优，把时间浪费在改一个本来就没问题的请求头上。

伪装度不是越高越好。100%伪装意味着你的请求和真实浏览器完全一致，但真实浏览器有缓存、有Cookie、有JavaScript执行环境。只伪装请求头，就像穿了西装但没穿鞋。目标站点的风控系统看的是整体行为：鼠标轨迹、页面停留时间、请求间隔。这些维度在线检测工具根本覆盖不到。

如果你确实需要用一个在线工具做初步筛查，挑那种公开比对算法的。比如某个GitHub项目维护的检测页，每一项差异都会告诉你“正常值应该是什么”以及“为什么”。这种透明度比一个孤零零的百分比有用得多。

最后说个实际案例。去年帮人调试一个采集脚本，伪装度检测显示78%，但目标站还是封IP。查了半天发现是TLS指纹对不上——JA3哈希暴露了Python的ssl库。伪装度检测网站没查这一层，因为它在应用层，JA3在传输层。所以那个百分比看看就好，别当成安全证明。

工具永远滞后于风控。今天能过检测的参数组合，明天可能就是新的特征。与其追着检测分数跑，不如把精力花在理解目标站到底在验什么。

(责任编辑：休闲)