无第三方JS指纹库的浏览器设备指纹实现咨询

1. 排除用户主动修改时区的情况，现有方案能否用于常规设备识别？ #

仅能满足极低要求的粗粒度访问量统计，完全不适合作为发帖场景下的设备唯一标识方案。
你现在写的自定义哈希是32位有符号整数，总共只有2^31左右的取值空间，站点流量稍大就会出现大量哈希碰撞，同批次采购的同配置办公电脑、同型号同系统版本的消费级设备，很容易算出完全一样的ID。
就算用户不主动改时区，很多特征也会在用户无感知的情况下发生变动：浏览器自动更新会改UA、系统自动切换夏令时会改时区偏移、调整系统显示缩放/外接显示器会改可用分辨率、显卡驱动更新会改WebGL返回的显卡参数、开浏览器隐私模式会直接返回伪造的硬件参数，这些情况都会导致生成的ID跳变，要么把正常老用户识别成新设备，要么把不同设备识别成同一个。如果是用来做垃圾发帖防控，这个方案既容易误杀正常用户，也很容易被脚本绕过。

2. 当前采集的特征中哪些稳定性最高、最适合纳入指纹计算？ #

按照实际场景下的稳定性从高到低排序：

• 第一梯队（正常使用下极少变动，区分度尚可）
  • navigator.platform：只要用户不重装系统、不更换设备、不主动伪造参数，这个值基本不会发生变化
  • navigator.hardwareConcurrency：设备CPU逻辑核心数，硬件不换、不手动改浏览器启动参数的话不会变
  • WebGL接口返回的显卡渲染器标识（gl.getParameter(gl.RENDERER)）：不换显卡、不更新显卡驱动、不开隐私模式伪造的前提下稳定性很高，区分度也比其他几个硬件参数好
  • window.screen.colorDepth：绝大多数消费级设备默认都是24位，虽然稳定性高但区分度极低，对指纹唯一性贡献很小
• 第二梯队（容易无感知变动，适合作为辅助特征，不要作为核心判定依据）
  • navigator.userAgent：主流浏览器每4-6周就会自动更新版本，UA里的版本号会同步变化，直接拼进去会导致每次浏览器更版ID就变
  • 系统时区/时区偏移：就算用户不手动改，跨地区出差自动同步当地时间、系统自动切换夏令时都会导致这个值变化
  • window.screen.availWidth/availHeight：调整系统显示缩放、插拔外接显示器、调整任务栏高度都会改变这个值
  • navigator.language：用户调整浏览器默认语言、安装多语言包就会变动
• 第三梯队（稳定性极差，不建议纳入计算）
  • navigator.cookieEnabled：主流浏览器默认都是开启状态，区分度几乎为0，用户开隐私模式、改Cookie权限就会变，对生成稳定指纹没有正向帮助

3. JavaScript是否原生提供MD5方法可以替换现有哈希函数？ #

没有，目前所有主流浏览器的原生JS API、Node.js原生环境都没有内置MD5实现。
不推荐专门为了哈希引入第三方MD5库，优先用浏览器原生支持的SubtleCrypto接口提供的SHA系列哈希算法就行，碰撞率比MD5和你现在写的32位自定义哈希低好几个数量级，参考实现：

// 注意这个接口是异步的，而且只能在HTTPS/localhost环境下调用
async function calcFingerprint(featureStr) {
  const enc = new TextEncoder();
  const hashBuf = await crypto.subtle.digest('SHA-256', enc.encode(featureStr));
  return Array.from(new Uint8Array(hashBuf))
    .map(i => i.toString(16).padStart(2, '0'))
    .join('');
}

如果要兼容非HTTPS的老旧场景，再考虑引入轻量的纯JS MD5实现，但是从碰撞率和可靠性角度，还是更推荐用原生支持的SHA-256。

内容的提问来源于stack exchange，提问作者Laralex