javascript设备指纹需组合navigator、screen等只读属性，优先选取稳定、跨域可读且不触发权限弹窗的字段；避免已失效的plugins/mimetypes，慎用降级的useragent，推荐platform、hardwareconcurrency、screen尺寸配合devicepixelratio；useragentdata受限于授权与兼容性，仅作补充；隐私模式下colordepth、字体api等可能被篡改或禁用；html结构宜用语义化dl列表组织，字段id需唯一带前缀，动态时间字段应哈希处理。
怎么用 JavaScript 读取基础设备指纹字段
浏览器里没有现成的 navigator.getDeviceFingerprint() 这种 API，所有“设备指纹”都是拼凑出来的——靠组合 navigator、screen、performance 等对象的只读属性。关键不是“全量采集”，而是挑稳定、跨域可读、且不触发权限弹窗的字段。
常见错误是直接读 navigator.plugins 或 navigator.mimeTypes：Chrome 89+ 已默认返回空数组，Firefox 也限制了插件枚举；读 navigator.userAgent 虽然还能用，但 Chrome 正逐步降级为“冻结 UA 字符串”，返回的可能是泛化值（如 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36），丢失真实版本细节。
-
navigator.platform和navigator.hardwareConcurrency相对稳定，但注意hardwareConcurrency在某些 iOS Safari 版本中返回undefined -
screen.width/screen.height可用，但需注意单位是 CSS 像素，非物理像素；配合window.devicePixelRatio才能估算设备密度 -
performance.now()不参与指纹，但可用于检测是否在 iframe 中被 sandbox 隔离（若抛出DOMException: Permission denied）
为什么 navigator.userAgentData 不是万能解
navigator.userAgentData 是 Chrome 101+ 引入的替代方案，目标是提供结构化、可控的 UA 信息，但它默认是“冻结”的，且需要用户主动授权（permissions.query({name: 'userAgent'})），实际调用时多数会返回 Promise.resolve({state: "denied"})。即使允许，它也只暴露 platform、mobile、architecture、model、uaFullVersion 五个字段，其中 model 在桌面端始终为空字符串。
更现实的问题是兼容性：userAgentData 在 Safari 和 Firefox 中完全不可用；Edge 基于 Chromium 的版本支持，但企业环境常禁用该 API。所以不能把它当主力字段，只能作为 navigator.userAgent 的补充校验项。
- 调用前必须检查
"userAgentData" in navigator，否则直接报TypeError: Cannot read properties of undefined -
getHighEntropyValues()是异步方法，必须await，且传参必须是字符串数组，如["platform", "architecture"]；传错类型或非法字段名会静默失败 - 返回结果里的
platform值和navigator.platform不一定一致（例如 macOS 上前者可能是"macOS"，后者是"MacIntel"）
哪些字段会因隐私模式或浏览器设置失效
隐身窗口、防追踪模式（如 Firefox 的严格跟踪保护）、或启用了 “Global Privacy Control” 标头的浏览器，会主动篡改或屏蔽部分指纹字段。典型表现是：同一台机器，正常窗口下 screen.colorDepth 返回 24，无痕窗口下变成 24 或 30（随机化），甚至返回 undefined。
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
更隐蔽的是字体枚举：document.fonts.check() 和 document.fonts.load() 在 Safari 私密模式下会被禁用，调用后 Promise 永远 pending；而 navigator.fonts（CSS Font Loading API）本身未被广泛支持，不能依赖。
-
navigator.language一般可靠，但某些企业浏览器会强制设为"en-US"，掩盖真实系统语言 -
localStorage和sessionStorage在无痕模式下仍可用，但容量受限（如 Safari 无痕窗口限制为 5MB），写入大对象可能触发QuotaExceededError - WebGL 渲染器字符串（
gl.getParameter(gl.RENDERER)）在 Brave 等隐私浏览器中会被统一替换为"Google SwiftShader"，失去区分度
如何组织 HTML 输出结构才便于后续解析
不要把所有字段塞进一个 <div id="fingerprint"> 里用 JSON.stringify 打包输出。前端采集后要传给后端做聚类或风险判断，结构越清晰，后端解析成本越低，也越容易加字段、剔除噪声。
<p>推荐用语义化 <code><dl></dl>（定义列表）结构，每个字段独立成 <dt></dt>/<dd></dd> 对，用 data-key 标注原始来源，方便调试。避免内联样式或 JS 渲染，保证静态 HTML 也能看出字段含义。
- 平台
- 屏幕宽度（CSS px）
- 逻辑 CPU 核心数
注意：别用 id="fingerprint" 这种宽泛命名，容易和第三方 SDK 冲突；字段 ID 必须唯一且带前缀（如 fp-），否则后续用 document.getElementById("platform") 可能误取到其他元素。
真正难处理的是时间差和动态字段——比如 performance.timeOrigin 每次刷新都变，Date.now() 精确到毫秒但意义不大。这类字段要么不采，要么只存 hash 后的摘要，不然会把指纹变成“每刷新一次就换一个ID”。
