前端水印技术
定义与分类
水印最早用在纸质文档防伪，放到前端里，作用就变成了给网页或应用内容加一层可追踪的标识。常见做法是通过 JavaScript、CSS 等手段把版权信息嵌进去。按可见性来分，一般有两类。
- 可见水印：直接在内容上叠加半透明文字或图案，用户一眼就能看到。
- 不可见水印：通过像素颜色、亮度等细节变化嵌入信息，外观上不打扰阅读，但后续识别和取证会更麻烦一些。
实现方式
前端水印常见的实现离不开 HTML5 Canvas、CSS 伪元素和 SVG。最直接的是用 Canvas：页面加载时生成一层带版权信息的水印，再覆盖到内容上。位置、透明度、旋转角度都可以调，目标不是把页面盖死，而是让信息能看见，又不至于太影响使用。
挑战与应对
水印不是加上去就完事了，真正麻烦的是被去掉。可见水印容易被截图、录屏或者图像处理软件处理掉，不可见水印则可能被像素分析慢慢拆出来。比较常见的应对方式有几种：
- 动态水印：每次加载页面时生成不同内容，至少能把批量破解的成本抬高。
- 多层水印：可见和不可见一起上，单独去掉一层并不能完全清干净。
- 加密处理：先把水印信息加密，再嵌入页面，提取出来也不容易直接读懂。
反爬策略
爬虫行为识别
爬虫本身不一定是坏东西，搜索引擎、数据分析都离不开它。问题在于恶意爬虫会把网站内容、接口和带宽一起拖下水。判断这类流量，通常看几个信号：
- 高频访问：短时间内发很多请求，明显超过正常浏览节奏。
- 异常请求：请求头里缺少常见字段，比如 User-Agent、Referer，或者带着明显可疑的特征。
- 缺少交互：只拉页面，不点击、不滚动，也不做任何停留。
技术实施
反爬一般不会只靠一招，单点防护很容易被绕过去。更稳妥的做法是把几层机制叠起来：
- IP 限制：记录访问 IP，对频繁请求的来源做限制或封禁。
- 验证码机制：图形验证码、短信验证码、行为验证码都可以用来区分人和程序。
- 请求频率限制：给请求设置间隔，超出后延迟处理或者直接拒绝。
- 动态页面渲染：把关键内容交给 JavaScript 生成，至少能挡住一部分直接抓取。
- 用户行为分析：结合停留时间、点击模式等特征，识别不太像人的访问轨迹。
体验平衡
反爬做得太硬，正常用户先被拦住，这种情况并不少见。实际落地时，我更倾向于分层处理，而不是一上来就封死。
- 分级响应：先提醒，再限流，最后才封禁。
- 透明沟通：把防护规则讲清楚，减少用户对误拦的抵触。
- 提供替代方案：如果有研究者或开发者需要稳定获取数据，开放 API 或下载接口通常比硬拦更省事。
