Google Analytics（GA）等同类分析服务是如何过滤垃圾伪造请求的？

GA针对伪造垃圾请求的检测和处理机制主要分为以下几层： #

• 动态请求签名校验
  目前主流的GA4版本的上报请求并非仅靠公开参数即可生成，GA前端脚本会根据跟踪ID、页面上下文、时间戳、客户端环境特征通过非公开算法生成动态签名（通常携带在请求的_s等隐藏参数中），服务端会首先校验签名合法性，纯手动拼接、未携带合法签名的伪造请求会直接被拦截，不会进入后续数据处理流程。
• 行为特征校验
  即便破解了签名生成逻辑，GA仍会对上报数据对应的用户行为做合理性校验：比如是否存在合理的页面停留时长、是否有正常的交互行为（滚动、点击、表单提交等）、访问路径是否符合普通用户的浏览逻辑，存在明显矛盾的异常请求（如会话时长为0却上报了5个点击事件、单路径下一秒跳转10个页面等）都会被标记为垃圾数据过滤。
• IP与设备指纹交叉校验
  GA会对上报请求的IP地址、设备指纹（由用户代理、屏幕参数、时区、语言等数十种环境特征生成）做聚合校验：短时间内同一IP/设备指纹大量重复上报、且无正常行为链路的请求会被直接判定为垃圾流量，不会计入正式统计数据。
• 规则化过滤兜底
  GA内置了全球通用的垃圾流量特征库，已知的爬虫IP段、常见的垃圾请求特征都会被自动拦截；站点管理员也可自行配置自定义过滤规则，排除指定IP、UA、来源域的请求，进一步降低伪造流量干扰。
• 汇总层二次校验
  少量漏入处理流程的异常流量，在报表汇总阶段也会被二次校验：如某时段流量突发激增但完全无对应的用户参与度、转化数据，这类无效流量也会在最终报表计算中被剔除，不会影响正常统计结果。

内容的提问来源于stack exchange，提问作者Mahdi