CEFSharp中JavaScript注入遭Chrome自动化检测的原因与规避方案

我之前在CEFSharp项目里也碰到过一模一样的问题，折腾了好一阵子才搞定，给你梳理下原因和可行的解决方案：

Chromium内核的浏览器（包括CEFSharp基于的版本）内置了多层自动化行为检测机制，触发提示的核心原因通常是这几点：

• 执行上下文的异常标记：CEFSharp默认的脚本注入方法（比如ExecuteScriptAsync）会留下和用户手动操作/页面原生脚本不同的执行痕迹，比如navigator.webdriver属性的存在、调用栈里的特殊标记，这些都是Chromium检测自动化的核心依据。
• 浏览器特征不匹配：默认CEFSharp的User-Agent会带有CEF标识，而且navigator.plugins、navigator.mimeTypes的数量和真实Chrome差异很大，部分网站会通过这些特征识别非人工访问。
• 脚本行为过于“机械”：如果注入的脚本一次性执行大量操作、执行速度远超人类操作阈值，或者没有模拟用户交互的前置动作，也会被判定为异常活动。

以下是我亲测有效的几个方向，组合使用基本能解决大部分检测问题：

1. 消除自动化特征标记 #

这是最核心的一步，直接切断Chromium的检测依据：

• 篡改navigator.webdriver属性：在页面上下文创建时就覆盖这个属性，让网站无法通过它识别自动化：

  browser.FrameLoadStart += (sender, e) =>
  {
      if (e.Frame.IsMain)
      {
          e.Frame.ExecuteScriptAsync(@"
              Object.defineProperty(navigator, 'webdriver', {
                  get: () => undefined,
                  configurable: true
              });
          ");
      }
  };
  

• 设置和真实Chrome一致的User-Agent：避免UA里出现CEFSharp相关标识，比如：

  var settings = new CefSettings();
  settings.UserAgent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36";
  Cef.Initialize(settings);
  

• 禁用自动化检测开关：通过CEF命令行参数关闭Chromium的自动化检测模块，这一步效果非常显著：

  var settings = new CefSettings();
  settings.CefCommandLineArgs.Add("--disable-blink-features", "AutomationControlled");
  Cef.Initialize(settings);
  

2. 调整脚本注入的方式和时机 #

让脚本的执行更贴近真实用户的行为：

• 动态创建<script>标签注入：这种方式的脚本执行上下文和页面原生加载的脚本完全一致，几乎不会留下痕迹：

  browser.ExecuteScriptAsyncWhenPageLoaded(@"
      const injectScript = document.createElement('script');
      injectScript.textContent = `
          // 你的业务代码写在这里
          console.log('注入的脚本执行中');
      `;
      document.head.appendChild(injectScript);
      // 执行完可以移除标签，避免留下痕迹
      injectScript.remove();
  ");
  

• 模拟人类操作的延迟：不要在页面刚加载完成就立刻注入，而是添加随机延迟，或者先模拟用户交互再执行：

  browser.ExecuteScriptAsyncWhenPageLoaded(@"
      // 模拟用户等待1-2秒后执行
      setTimeout(() => {
          // 这里放注入的脚本
      }, Math.floor(Math.random() * 1000) + 1000);
  ");
  

3. 模拟前置用户交互 #

在注入脚本前先触发一些真实用户会做的操作，让网站的行为分析系统认为是人工访问：

browser.ExecuteScriptAsync(@"
    // 模拟鼠标移动
    const mouseMoveEvent = new MouseEvent('mousemove', {
        bubbles: true,
        clientX: Math.random() * window.innerWidth,
        clientY: Math.random() * window.innerHeight
    });
    document.dispatchEvent(mouseMoveEvent);

    // 模拟页面滚动
    window.scrollTo(0, Math.random() * document.body.scrollHeight);

    // 模拟随机点击
    const clickEvent = new MouseEvent('click', {
        bubbles: true,
        clientX: Math.random() * window.innerWidth,
        clientY: Math.random() * window.innerHeight
    });
    document.dispatchEvent(clickEvent);
");

4. 关闭CEFSharp的调试相关配置 #

默认的调试配置也可能暴露自动化身份，记得禁用：

var settings = new CefSettings();
// 禁用远程调试端口
settings.RemoteDebuggingPort = -1;
// 禁用CEFSharp的特殊命令行参数
settings.CommandLineArgsDisabled = false;
Cef.Initialize(settings);

这些方法组合起来，我在多个需要检测的网站上都成功绕过了自动化提示，你可以根据自己的场景调整细节。

内容的提问来源于stack exchange，提问作者wilky