User-Agent是什么？会暴露哪些信息？
User-Agent（简称 UA）是浏览器在发出每个请求时附带的一段"自我介绍"字符串，告诉网站你用的是什么浏览器、什么版本、什么操作系统。它会暴露浏览器品牌、系统平台和大版本号，是浏览器指纹的特征之一。到 浏览器指纹检测 就能看到你当前发出的完整 UA。
User-Agent到底是什么？
一句话定义：User-Agent 是 HTTP 请求头中的一个标准字段，用一串文本声明发起请求的客户端软件及其运行环境。你打开任何网页，浏览器都会在请求里带上这个字段，服务器据此决定返回什么内容——比如给手机返回移动版页面，给老浏览器提示升级。不只是浏览器，任何客户端都有自己的 UA：curl、wget、各种爬虫都会声明自己的身份。本站也利用了这一点：在终端执行 curl ipkk.com，服务器识别出这是命令行工具，就直接返回 ip/country/region/city/timezone 的纯文本结果，而不是完整网页。
一条典型的Chrome UA长什么样？
结论：现代 UA 是历史兼容包袱层层叠加的产物，几乎每个浏览器都在"冒充"别人。一条典型的 Chrome on Windows UA 形如 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/1xx.0.0.0 Safari/537.36。逐段拆开看：
| UA 字段段落 | 示例片段 | 含义 |
|---|---|---|
| 兼容前缀 | Mozilla/5.0 | 历史包袱：早年网站只给"Mozilla"浏览器发完整页面，后来所有浏览器都自称 Mozilla 以求兼容，沿用至今 |
| 平台段 | (Windows NT 10.0; Win64; x64) | 操作系统与架构：Windows NT 10.0 对应 Windows 10/11，Win64; x64 表示 64 位系统 |
| 引擎段 | AppleWebKit/537.36 (KHTML, like Gecko) | 渲染引擎声明，同样是兼容性伪装：Chrome 实际用 Blink 引擎，但仍自称 WebKit，且"像 Gecko" |
| 浏览器版本段 | Chrome/1xx.0.0.0 | 浏览器品牌与大版本号；Chrome 已冻结小版本细节，只有主版本号还在更新 |
| 兼容尾巴 | Safari/537.36 | 再冒充一次 Safari，确保按 Safari 适配的老网站也能正常下发内容 |
这也解释了为什么 UA 读起来像"套娃"：它不是设计出来的，是二十多年浏览器大战里为了不被网站拒之门外，一层层加出来的。
UA会暴露我的哪些信息？
结论：UA 能暴露浏览器品牌、操作系统平台和浏览器大版本，区分度中等——它认不出"你是谁"，但能把你归进一个不小的人群。一句话定义：浏览器指纹是把 UA、时区、语言、屏幕、字体等多个特征拼在一起、用于在没有 Cookie 的情况下识别设备的技术，UA 只是其中一个特征。单看 UA，用同一版本 Chrome + Windows 的人成千上万，网站没法据此锁定个人；但当 UA 和其他特征组合起来，整体的区分度就会显著上升。更值得注意的是它在"一致性校验"里的角色：UA 声称的系统与其他特征（如时区、语言、渲染细节）是否互相印证，往往比 UA 本身透露的信息更关键。用 浏览器指纹检测 可以同时看到你的 UA、时区和语言，自己核对一遍是否自洽。
UA可以改吗？改了会更安全吗？
结论：UA 可以随意修改，但只改 UA 不改其他特征，制造出的矛盾反而更可疑。UA 本质上只是请求头里的一段文本，浏览器扩展、开发者工具都能一键伪装。问题在于网站不止看 UA：JavaScript 能读到的平台信息、渲染引擎的行为细节、支持的功能列表，都会和 UA 声称的身份交叉比对。如果 UA 说自己是 macOS 上的 Safari，而脚本探测到的却是 Windows 平台和 Blink 引擎的特征，这种自相矛盾在社区经验里被普遍认为比"如实上报"更容易触发风控。这个逻辑和本站首页综合风险分（分值越高，本站规则识别的风险线索越明显）的思路一致：风控看重的是环境各项特征是否互相一致，而不是单项数值好不好看。改完 UA 后，建议回 浏览器指纹检测 核对时区、语言与 UA 是否仍然自洽。
UA的未来：Client Hints是什么？
结论：传统 UA 正在被逐步"冻结"，Chrome 已转向 User-Agent Client Hints（UA-CH），网站从"被动收到全部信息"变为"按需索取"。一句话定义：Client Hints 是一组由服务器主动声明需要、浏览器再选择性提供的结构化请求头，用来替代 UA 里一次性塞给所有网站的详细信息。Chrome 已冻结 UA 中的小版本号等细节（这就是你看到 Chrome/1xx.0.0.0 里一串零的原因），默认只暴露浏览器品牌、主版本和粗粒度平台；网站想要更细的信息（如具体平台版本、设备型号），必须通过 UA-CH 明确请求。方向很清楚：减少默认泄露、把主动权还给浏览器。各浏览器的具体实现和字段细节仍在演进，以官方文档为准。
常见问答
网站能通过UA认出我个人吗？
不能，单凭 UA 认不出个人。UA 的区分度中等，同一款系统加同一版本浏览器的组合有大量用户共享。但 UA 与时区、语言、屏幕等特征组合成完整的浏览器指纹后，识别能力会显著增强。
UA和IP哪个更容易暴露我？
两者暴露的维度不同，不能简单比较。IP 暴露的是你的网络出口和大致位置，UA 暴露的是你的软件环境；风控通常把两者放在一起做一致性校验。也要注意：单凭一个 IP 断定"质量/纯净度"并不可靠——全球约 42.9 亿个 IPv4，IP 并非固定对应某个用户。负责任的做法是综合当前真实环境评估，本站首页默认评估当前访问出口及浏览器环境，指定 IP 查询则将目标资料与当前浏览器观测组合评估。
无痕模式会改变我的UA吗？
不会。无痕模式只是不保留浏览记录和 Cookie，发出的 UA 和普通窗口完全一样，UA 携带的浏览器与系统信息照常暴露。
怎么查看自己当前的UA？
打开本站 浏览器指纹检测，页面会直接展示并解析你的 UA，同时列出时区、语言等其他指纹特征，方便一次性核对整体环境是否自洽。
假设场景：怎样保存排查证据
以下为方法示例，不代表已核实的用户反馈。假设一位做跨境电商的使用者遇到以下情况：他用扩展把浏览器 UA 改成了 macOS 上的 Safari，想让工作环境看起来"更像普通海外用户"，结果店铺后台的安全验证反而变多了。比较实际浏览器版本、请求头和应用兼容性，保留发生错误时的环境记录。UA 是客户端提供的信息，不能单独证明设备身份或用户行为。保存前后记录时，说明哪些是直接观察、哪些尚需验证；不要把同时发生的变化自动当成因果关系。