爬虫项目实战

Star History

某皮 网页端设备指纹 LongToken 技术深度分析

1. 概述

本文分析 某皮 网页端（Web 浏览器环境）使用的设备指纹系统——longtoken。该系统运行在浏览器 JavaScript 环境中，通过采集上百项浏览器和设备属性，经过多层加密编码后生成唯一的设备标识 token，用于服务端识别和追踪访问设备。

与移动端（Android / iOS）的 SAP 签名体系不同，网页端指纹系统面临更大的技术挑战：浏览器沙箱限制了可获取的系统信息，JavaScript 语言本身的透明性使得算法更容易被分析，同时浏览器环境的多样性要求指纹具备更强的容错性和区分度。

某皮 网页端指纹系统由两个核心组件构成：longtoken（设备指纹令牌）和 capcha（验证码验证），两者共享部分密码学原语和加密逻辑，形成协同防护体系。

某皮 移动端反爬虫算法深度解析：Android 与 iOS 平台对比分析

一、概述

某皮 作为东南亚最大的电商平台之一，其移动端应用采用了相当复杂的反爬虫机制。本文基于对 某皮 和 iOS 客户端的算法还原代码，从架构设计、加密体系、算法标准性、指纹采集、防护强度等维度进行深度对比分析。

某皮 的反爬体系主要由两大模块构成：SAP（某皮 Anti-fraud Protocol）请求签名系统和设备指纹系统。两个平台在整体架构上保持一致，但在具体算法选择、加密强度、序列化方式和设备信息采集方面存在显著差异。

---

固定时间戳

currentTimeMillis

java
protected long currentTimeMillis() {
    //return System.currentTimeMillis();
    System.out.println("固定时间戳:" + 1744706898936L);
    return 1744706898936L;
}

JS协议

定位业务接口

爬虫的第一步是定位目标接口，在浏览器采集的时候，常用的抓包方式有两种：

使用devtools

chrome，edge，safari，firefox等主流浏览器都自带了浏览器调试工具，通过f12等方式可以打开调试工具，打开network面板即可获取到所有数据流，从中筛选出对应的接口即可。

此方案可能遇到的风控：

打开调试工具会有明显的标志位，例如console.debug等检测，遇到强风控的网站可能会直接触发风控，常见风控表现例如无限debugger以及登录和验证码页面。

解决方案：

1. 魔改浏览器内核，解决检测点。
2. 定位到对方检测位置，将代码重写覆盖绕过检测。
3. 使用无法被检测的浏览器调试。

使用抓包工具

可以使用小黄鸟，茶壶以及mitproxy等工具进行全局抓包获取所有数据流，从中筛选出目前接口。

此方案可能遇到的风控：

抓包软件的tls指纹和浏览器不同，遇到强风控的网站可能会直接触发风控。

解决方案：

自写抓包工具，魔改tls指纹通过检测。

获取数据

对于在接口没有设置风控参数以及风控逻辑的网站，找到目标接口就可以直接编写代码获取数据。