服务端驱动客户端安全审计：从被动响应到主动免疫

　　去年国庆，我蹲在客户服务器后台盯日志，阳台衣服没收，雨一直下到凌晨两点，隔壁装修电钻声在四楼都能听清——就那天，客户站索引量掉了一半，快照回退到八月十七号，友链列表里十七个站全飘红。我原以为是蜘蛛池被扫了，结果翻到凌晨四点，发现连百度移动端的抓取频次都降得像断气儿似的。

　　群里老张先发了个“????”表情包，三分钟后客户电话打进来：“陈工，你昨天说‘稳了’，现在首页搜我们品牌词第三页都找不到。”我没回，把手机扣桌上，烟灰缸里第三根烟还没掐灭。查一下收录：进百度站长平台→点“索引量”→等转圈→点“最近七天”→再点“对比图”→放大看十月一日那根线——塌了。再查一下快照：搜site:domain.com→点快照→日期显示八月十七→点“更多结果”→翻三页没一个新日期。又查一下友链：挨个点开对方首页→Ctrl+U看源码→搜“ourdomain”→十七个里十五个href直接404，剩下两个锚文本全变成了“成人教育”“贷款中介”。

　　我敢打包票，问题不在外链，不在TDK，也不在CDN缓存过期。是客户端侧审计模块被服务端一把推平了——就十月二号零点零三分，运维同事小李执行了一次强制同步，把所有前端资源校验策略全从server端下发覆盖，连JS脚本里埋的UA识别开关都给关了。这个我敢打包票。但到底是哪次更新的事我说不准，反正9月28号那个灰度版本，和10月1号那个紧急hotfix，两个包名后缀我都记混了。

　　客户说“你们SEO不是最懂蜘蛛怎么想的吗”，我说蜘蛛早不按UA想事儿了，它现在认的是你页面吐出来那一刻，服务端有没有悄悄往body里塞校验指令、有没有在header里藏动态challenge。可他们不信。老张在群里接话：“去年咱们做站群，也是这么搞的，服务端统一判别UA加referer加cookie组合特征，客户端只管执行，不许自己瞎猜。结果三个月后全被干掉。”我回他：“对，干掉的那批，都是没让服务端管住客户端心跳的。”

　　那会儿我还信“采集识别靠JS加密+反调试”，结果国庆后查了三十二个被镜像的页面，发现有二十九个，采集方连window.location都没改，只换了个document.domain就跑通了整个鉴权流程。不是他们技术高，是我们客户端安全逻辑全写在前端，service-worker里那几行fetch拦截，早被当成装饰性代码跳过了。服务端驱动客户端审计，不是加个header那么简单，是把“该不该给”这件事的判决权，从浏览器手里抢回来，死死攥在nginx upstream那边。

　　我翻出当年做站群的旧事，那会儿在江苏南通租了二十台VPS，用PHP写一套动态JS生成器，每次访问都变一次base64密钥，key存在memcached里，超时三秒。客户端拿到的不是脚本，是带签名的执行许可证。客户问“这能防什么”，我说防“连curl都不带-H参数的爬虫”，他说“我们不用防curl，我们要防百度”，我差点笑出声。现在倒好，百度自己开始当那个带-H参数的curl了，还顺手把证书校验、TLS指纹、JS沙箱行为全都拎到服务端做决策——而我们还在用localStorage存登录态，用onclick绑事件监听，用document.write插广告位。

文章配图，仅供参考

　　失败案例？三百七十二个词页，批量替换title标签之后，排名全没了。不是因为标题堆砌，是因为替换动作触发了服务端内容指纹校验，认为这批页面存在“非人工干预式批量操作”，自动打上低信任标识。还有一个更绝的：一个客户把友链页面改成单页应用，路由由history.pushState控制，服务端不输出静态HTML，只给空壳index.html。结果百度移动抓取队列里排了三天，始终不渲染，最后直接剔除索引。这不是JavaScript问题，是服务端没主动告诉crawler：“请用CSR模式抓这个URL，我这儿有预热后的DOM快照”。

　　我原以为只要服务端响应够快、TTFB压到两百毫秒以下，就能稳住收录——结果发现，百度今年六月起，对带Service-Worker且未声明skipWaiting的站点，直接降低JS资源抓取优先级；而我们客户九月份上线的新版，SW脚本里那句self.skipWaiting()注释掉了，没人记得解注。这事儿连运维都不知道，只有我上周翻GitHub commit log时，在一个合并请求的描述里看到一行字：“临时注释skipWaiting防热更新冲突（待验证）”。

　　所以我说“优胜劣汰”，真不是虚的。淘汰的不是技术落后的站，是那些还把安全审计当成“前端补丁”来打的团队。谁把校验指令、渲染策略、资源准入规则，统统交给服务端统一下发、统一回收、统一打标，谁的流量才不会被当成“可疑副本”处理。客户问我损失多少，我说就损失了十一假期陪孩子的时间，别的我不说——这话半真半假，但我没骗人。

　　明天先把手上那批页面删一半试试。不是删内容，是删掉所有前端自主加载的校验逻辑，把判断权交还给nginx里的lua脚本。至于剩下的另一半……先让它挂着，看七天内快照会不会往前蹦一格。要是不蹦，就证明我猜错了，或者百度根本没读完我昨天提的那个search console feedback。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!