cloak斗篷系统的前世今生以及优缺点分析

        2023年是后疫情时代的新起点。对于广告投放或独家产品运营的团队来说，规避非正常访客的访问是必须要面对的问题。在这种情况下，需要一个针对访客的管理系统来管理他们。早期开发这些软件的开拓者为了使其听起来更神秘，使用了cloak这个英文名称，中文意思是“斗篷”。但我更喜欢称之为访客管理系统，这样更贴切易懂。

        Cloak已经成为出海营销行业的必备工具之一。尽管使用Cloak并不能保证一定有效，但长期来看不使用Cloak是不可行的。

        Cloak系统既有国外的，也有国内的，其中知名的也只有几个。但是由于很多人对这方面的了解比较有限，本文将对整个Cloak系统以及访客访问的流程进行梳理和概述，以便让大家了解什么样的Cloak系统最适合且最可靠，从而避免被割韭菜的悲剧发生。

第一代：
        早期第一代的斗篷系统，主要是通过JavaScript（简称JS）技术，部署在前端来实现的，在其后台创建完规则后，生成一段JS代码，然后粘贴到使用者网站上。范例如下：

<script src="https://www.demo.com/visit/123456.js"></script>

        它对接及其简单，简单的就像添加网站统计代码一样。访客打开你的网站后，再加载这段JS代码，JS通过判断访客的来路、语言、访问路径和其他一些参数，提交到cloak系统，与之前设定的规则进行对比，从而来进行拦截和放行的。
后来出现了一个看起来比较高大上的指纹技术，但实际也是通过JS与浏览器交互，来获取访客以及浏览器的各种参数，比如audio,canvas,colorDepth,deviceMemory,fonts,languages,timezone等。

Github开源地址：https://github.com/fingerprintjs/fingerprintjs

第一代的cloak弊端非常明显，我大概列出来几点：

1.如果用户在其浏览器中禁用了JS、安装了插件来禁用脚本或通过GET/POST访问取得HTML源码，那么此方法就立刻失效了，根本无法规避广告审核、巡查爬虫和恶意蜘蛛等问题。

2.当用户访问网站时，页面会尝试加载JS文件。如果网络速度较慢，则用户可能会在JS文件加载之前看到原始网站的内容。但是，一旦JS文件成功加载并运行，它将改变页面的行为和外观。无论用户何时加载完成，JS文件总会对页面产生影响。

3.如果访客是同行或者是具备一定专业知识的人，他们可以通过右键查看网站源码或在浏览器中输入 view-source:+域名 来查看网页的全部HTML代码。

  但是对于蜘蛛爬虫、恶意请求库、漏洞扫描器、广告审核或巡查爬虫等访问工具，它们不是直接通过浏览器访问网站的，而是进行GET/POST请求，只获取到网页的HTML源代码，而无法执行HTML中引用的任何文件（如js、css和图片等），这时候JS部署方式的cloak就失效了。

然而，不能否认JS方式在早期部署时比较流行，因为几乎适用于任何WEB网站上。由于一些SAAS网店系统，如Shopify和Shopyy等无法控制编辑源码，也只能使用这种方式（第二代可使用AB跳转方式）。但目前极容易被检测出来，基本没什么人使用了。

  尽管这种方式有优点，但其执行环境离不开浏览器的支撑，没有浏览器，这种使用JS在前端层面部署的cloak就毫无作用，用这种方式拦截同行以及规避广告等，最终也是掩耳盗铃