禁用 Cookie 以后，网站为什么仍可能认出你？

很多人把 Cookie 想成网站认人的唯一身份证：清除 Cookie 或打开隐私窗口，就等于换了一张脸。可浏览器每次访问网页时，还会暴露一组为了正常显示和运行所需的信息。单项都很普通，组合起来却可能像指纹一样具有辨识度。

这种方法叫浏览器指纹识别。它不一定需要在设备里保存一个明确编号，而是根据设备与软件特征，估计这次访问是否来自之前见过的同一浏览器。

一条特征不独特，几十条就未必了

网站可能观察浏览器版本、操作系统、语言、时区、屏幕尺寸、像素密度、触控能力、字体可用情况和图形渲染结果。你的屏幕分辨率当然与很多人相同，但“某分辨率＋某时区＋某语言＋某显卡渲染差异”的组合会缩小候选范围。

这像在陌生人群里找一个“左撇子、戴圆框眼镜、说某种方言、每天同一时间出现”的人。任何一项都不能确认身份，组合却可能相对稳定。

MDN 的网页隐私指南指出，浏览器、设备和已安装字体等不明显的信息也可能用于识别用户。指纹识别关注的不是某个神奇字段，而是积累能够区分用户的数据点。

Cookie 是网站存入浏览器的小块数据，浏览器之后会按规则带回。用户能查看和删除它，浏览器也能限制第三方 Cookie。指纹则多由网站重新测量环境生成，没有一个必然可删除的本地文件。

不过，指纹不是绝对身份证。浏览器升级、窗口变化、外接屏幕、字体调整或防护策略都可能改变特征。识别系统通常给出概率，并结合登录状态、IP 地址、访问时间等其他信号。把它描述成“永远准确追踪任何人”同样不准确。

网页确实需要知道部分能力：屏幕大小影响布局，语言影响内容，触控能力影响交互，图形接口决定能否运行游戏或设计工具。如果一律拒绝，很多功能会损坏。

防护因此常采用三种策略：减少可读取的信息精度，让许多用户呈现相同结果；对计时器等数据加入轻微噪声；在敏感接口前要求权限或限制第三方环境访问。标准制定者还会评估新 API 是否增加可识别信息。

有趣的是，过度定制隐私设置也可能让浏览器更独特。安装一组极少见的扩展、修改大量罕见参数，有时反而使你在人群中更显眼。统一、广泛使用的防护配置往往比独一无二的伪装更有匿名性。

隐私窗口主要减少设备本地留下的历史、Cookie 和表单记录，并隔离部分会话状态。它不会自动隐藏 IP 地址，也不保证网站无法测量设备特征。登录同一账号更会直接告诉平台你是谁，无需猜指纹。

普通用户可以保持浏览器更新，使用可信浏览器内置的跟踪防护，谨慎安装扩展，并避免把“清除 Cookie”误当成全部隐私方案。需要更强匿名性时，要使用专门设计、让大量用户共享相似配置的工具，同时理解登录和个人行为仍可能暴露身份。

浏览器指纹最值得警惕的地方，不是它拥有一枚藏在电脑里的秘密印章，而是许多看似无害的信息能够拼成画像。网络隐私也因此不是找到一个关闭按钮，而是持续减少不必要的信息暴露，并让正常功能与可识别性之间保持边界。