机器人检测

TRACIO 的机器人检测系统采用双层架构识别自动化浏览器、无头工具和脚本化攻击：客户端信号采集与服务端分析。它能以近乎零误报的精度检测主流自动化框架、无头浏览器、AI 浏览智能体和反检测浏览器，同时自动将合法的搜索引擎爬虫加入白名单。

TRACIO 检测哪些内容

• 自动化框架 —— Selenium、Puppeteer、Playwright、Cypress、PhantomJS、NightmareJS 等，通过 window/document 痕迹和堆栈跟踪行为识别。
• 无头浏览器 —— 无头 Chrome 及相关运行时（CDP 痕迹、软件 GPU 渲染、缺失的浏览器对象）。
• AI 浏览智能体 —— Browser-Use、Claude Computer Use、Fellou、Genspark、Skyvern 及类似的智能体运行时。
• 反检测浏览器 —— Multilogin、GoLogin、Dolphin 及其他伪造指纹的浏览器，通过 CSS/属性/完整性探测识别。
• 已验证爬虫 —— Googlebot、Bingbot、Applebot、GPTBot、Yandex、DuckDuckGo 等，通过反向 DNS 验证，使伪造的 user-agent 无法通过。

检测架构

客户端采集

浏览器代理会采集一系列机器人专属信号和交叉验证信号，用于服务端决策。下面的信号 ID 仅为示意 —— 内部 ID 并非稳定的公开契约：

服务端分析

服务端运行一组检测器，其加权输出组合成一个机器人评分。该评分通过阈值映射到判定结果 —— 当评分 ≥ 0.70 时为 bot，≥ 0.30 时为 suspicious，否则为 human —— 而硬失败信号（例如 navigator.webdriver）会直接强制得出 bot 判定。机器人判定会携带一个 自由格式的 bot_type 标签。

代表性检测器及其效果：

套餐与可用性。 DevTools 检测在 Business 和 Enterprise 上运行； VM 检测为 Enterprise 专属；模拟器检测在所有套餐上运行。这些均可 在 Web 代理中工作。Root、越狱、克隆/分身应用、Frida 和恢复出厂设置 的检测依赖原生移动端信号，在纯 Web 部署中并不有效（开发中）。请 依赖自动化、无头、AI 智能体、反检测、VM/模拟器和行为判定，它们在 Web 上完全启用。

结果格式

机器人检测会在每个事件上写入一个 bot_result 字段（在 webhook 负载 中为 bot.result）。

结果取值

bot_result 为三个规范值之一：

该结果映射到贯穿仪表盘使用的业务 decision 字段（real、fake 或 suspicious）， 并映射到 webhook 负载 上的 bot.result。

机器人类型（当结果为 "bot" 时）

bot_type 是一个自由格式的字符串。下面的取值是检测器可能输出内容的示意示例， 并非详尽的枚举：

检测方法详解

1. Webdriver 标志

最直接的检测。所有主流自动化框架都会依照 WebDriver 规范将 navigator.webdriver = true。此项会在主框架（s300）和隐藏 iframe（s158）中分别检查，以捕获那些只修补主框架的工具。

2. 自动化框架扫描

全面扫描 window 和 document 属性中的框架专属痕迹：

该扫描还使用正则模式 /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ 来检测 Selenium 注入的辅助全局变量。

3. 无头浏览器检测

评估 11 个标记，达到 2 个及以上即进行归类：

4. 良性机器人验证

已知的良性机器人通过 User-Agent 模式识别。每一个都通过反向 DNS 验证以防伪造：

1. 对连接 IP 进行反向 DNS 查询以获取主机名
2. 检查主机名后缀是否属于允许的域名（例如 .googlebot.com）
3. 对主机名进行正向 DNS 查询以验证 IP 是否匹配

如果某请求声称自己是 Googlebot，但其 IP 的反向 DNS 解析到了外部域名（一次已确认的 PTR 不匹配，而非仅仅是缺失/超时的查询），则会被归类为 bot（类型 spoofed:google）。

5. 行为分析

基于速率的检测，配合熵评分：

附加规则：会话时长超过 30 秒后仍无鼠标/键盘事件，则将该访问归类为 bot，类型为 noInteraction。

6. Eval 长度分析

eval.toString().length 在每种引擎上产生一致的值：

• 33：Chrome、Edge（V8）
• 37：Firefox（SpiderMonkey）、Safari（JavaScriptCore）

任何其他值都表明 eval 函数已被自动化框架挂钩，会将该访问归类为 bot，类型为 unknown。

集成示例

在登录时拦截机器人（客户端）

客户端 SDK 提供了一个便捷布尔值 result.bot.detected：

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

服务端机器人检查

在你的服务端，对 webhook 投递进行处理。机器人检测 位于 bot 对象中 —— bot.result 和 bot.type：

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

误报处理

TRACIO 的机器人检测以近乎零误报为设计目标。不过，边缘情况仍可能出现：

如果你遇到误报，请查看 bot.type 字段以了解触发了哪个检测器，并据此调整你的策略。