网站所有者能否监测到用户在DevTools中运行自定义JavaScript？

一、正常运行的DevTools代码是否会被网站监测？ #

• 一般来说，网站没法直接获取你在DevTools控制台输入并执行的完整代码内容，不管是用来提取链接的脚本还是批量点击折叠面板的代码都一样。
• 但要是你的代码触发了网站本身的业务逻辑（比如点击按钮发起接口请求、修改DOM结构），网站可以通过自身的埋点逻辑追踪这些行为，只是没法直接关联到你是通过控制台执行的代码。

二、能否发现document.querySelector('.button1').click()这类代码执行？能看到什么？ #

• 网站看不到你执行的完整代码，也拿不到代码的返回值，只能追踪这段代码触发的后续行为：
  • 如果点击操作触发了接口请求，网站后端会收到请求日志，能看到请求的时间、参数、来源IP等信息；
  • 如果点击导致了DOM变更，要是网站做了DOM变更埋点（比如用MutationObserver监听并上报），会收到变更事件的相关数据，但完全没法区分是用户手动点击还是JS触发的点击。

三、防范方法 #

• 控制操作频率，别在短时间内触发大量请求或DOM变更，降低被网站风控系统标记为异常的概率；
• 模拟更贴近用户手动操作的行为，比如给点击事件加个几百毫秒的延迟，或者模拟完整的鼠标事件链（mousedown→mouseup→click），而不是直接调用click()方法；
• 要是网站有严格的行为检测，可考虑用浏览器扩展封装操作逻辑，减少直接在控制台执行代码的痕迹。

四、对@purple观点的解读 #

但从技术上来说，网站可以被设计成将每一次DOM变更都上报到后端（比如通过fetch），所以网站有可能追踪你每秒点击按钮的次数之类的行为。

• 这个观点的核心是：网站只能追踪行为结果，而非行为的触发源：
  • 若按钮点击会修改DOM，且网站做了DOM变更埋点，确实能追踪到点击的次数、频率，但没法区分是鼠标手动点击还是JS触发；
  • 就算按钮点击不修改DOM，但只要触发了接口请求，网站依然能通过请求日志追踪点击行为；只有当点击既不修改DOM也不触发任何网络请求时，网站才没法追踪这个操作。

五、TrackJS等工具与普通控制台代码的区别 #

• TrackJS这类错误追踪工具的核心是捕获代码运行时的错误信息，包括错误堆栈、出错代码片段、上下文环境，这是因为浏览器本身会抛出错误事件（error），工具可以监听这些事件并上报；
• 而正常运行的控制台代码不会触发错误事件，网站也没有内置机制能捕获控制台输入的代码内容，所以普遍认为网站没法查看控制台的正常操作——这和错误信息的处理逻辑完全是两回事。

内容的提问来源于stack exchange，提问作者NewbieUser