一个 Canvas 当然认不出你：海内外主流 Web / Android 设备指纹与风控体系全景
〇、研究证据与方法声明 本文是一篇横向综述，不是单一目标的逆向工程报告。核心方法是文献综述 + 公开材料交叉验证 + 版本样本观察，辅以少量一手逆向实验作为交叉校准。以下声明帮助读者判断每条结论的可信度和适用边界。 方法论 项目 说明 研究方法 文献综述 + 逆向验证 + 横向对比 覆盖范围 8 个国内平台（抖音/字节系、快手、淘宝、蚂蚁/支付宝、夸克、拼多多、美团、小红书）+ 7 类海外产品（Fingerprint、Cloudflare、Arkose、Stripe Radar、Sift、ThreatMetrix、Play Integrity）+ Netflix MSL 协议专题，共计 16+ 平台/产品 技术维度 5 大方案类别（第一方状态、概率指纹、完整性证明、网络与行为检测、业务图谱）x 7 个工程环节（采集、封装、校验、归一化、召回、匹配、图关联） 证据分级 A（官方公开文档与平台规范）/ B（架构映射与开源代码分析）/ C（版本化逆向样本与社区观察）– 详见 §1.4 证据来源统计 等级 来源数 典型代表 A：公开确认 ~50 Android 官方文档（标识符最佳实践、Play Integrity、Key Attestation）、W3C 指纹缓解规范、各平台隐私政策（淘宝/拼多多/美团/小红书/夸克/快手）、厂商产品文档（阿里云设备风控、Fingerprint API、Cloudflare Bot Management、Stripe Radar、Sift、Arkose）、火山引擎 DataFinder、Netflix MSL 开源规范 B：架构映射 ~10 学术论文（Laperdrix 浏览器指纹综述、Eckersley Panopticlick、Vastel FP-STALKER）、开源项目代码分析（FingerprintJS、CreepJS、RiskEngine、TrustDevice）、顶象算法公开说明、GeaFlow 流式图计算 C：外部观察 ~7 看雪社区版本样本（淘系 SecurityGuard、美团 mtgsig、拼多多 libpdd_secure）、仓库内抖音 v37.5 MetaSec 实验记录、仓库内 Netflix MSL 协议逆向日志 范围限制 本文的"留白"是刻意的设计选择，以下是主要已知限制： ...