可以构建纯原生反爬系统：依托浏览器原生api（csp/sri/sw）、http标准头、tls指纹、内存限流及数据混淆等不依赖三方库的机制，分四层实现轻量高效防护。
可以构建，但需明确一点：所谓“纯原生、不依赖三方库”，指的是不引入 前端框架（如React/Vue）、不调用 第三方SaaS服务（如Cloudflare、Akamai）、不集成 现成WAF模块（如ModSecurity）。它依然必须依赖浏览器原生能力（如CSP、Web Crypto API、Service Worker）、服务器基础协议（HTTP头、TLS）、以及开发者对请求链路的精细控制——这些是现代Web本身提供的“原生武器”，不是外部库。
一、客户端层：用浏览器原生机制筑第一道墙
重点不在“加密数据”，而在“让爬虫无法稳定解析页面结构”和“阻断自动化行为路径”：
-
Content-Security-Policy（CSP）强制执行：在HTML响应头中设置严格策略，禁用内联脚本与eval，只允许可信nonce或哈希加载JS。例如：
Content-Security-Policy: default-src 'self'; script-src 'nonce-87a3f2' 'strict-dynamic'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; frame-ancestors 'none'; base-uri 'self';
这样可天然拦截大部分XSS注入型爬虫的DOM篡改与动态脚本注入。 - Subresource Integrity（SRI）锁定静态资源：所有外链JS/CSS必须带integrity属性，防止CDN劫持或中间人替换为恶意代码。浏览器原生校验，无需JS参与。
- Service Worker主动干扰抓取逻辑：注册SW后，拦截fetch请求，对非人类特征（如无navigator.plugins、无screen.availHeight、User-Agent含Python/Scrapy）返回空白响应或混淆HTML（如把关键字段用Unicode零宽字符包裹）。注意：SW仅在HTTPS下生效，且需用户首次访问触发。
二、传输与协议层：用HTTP标准头做轻量指纹识别
不靠复杂设备指纹库，而用浏览器必带、爬虫常漏的原生协议信号做初筛：
- 强制校验8个标准HTTP头：Accept、Accept-Language、Accept-Encoding、Connection、Host、User-Agent、Sec-Fetch-*系列（Sec-Fetch-Dest、Sec-Fetch-Mode等）、Referer。任一缺失或格式异常（如Accept-Language为空或含乱码），直接400拒绝。真实浏览器几乎100%携带完整集合；多数requests/scrapy默认不发Sec-Fetch头。
- 利用TLS指纹被动识别：服务端在TLS握手阶段记录Client Hello中的ALPN、SNI、Cipher Suites顺序等。主流浏览器（Chrome/Firefox/Safari）有固定指纹模式；curl、python-urllib、headless Chrome配置不当则明显偏离。无需额外库，OpenSSL或Node.js原生tls模块即可提取。
-
Referer白名单+动态Token绑定：静态页面响应中嵌入一次性token（如
<meta name="page-token" content="t_abc123">），后续AJAX请求必须在Header中携带X-Page-Token: t_abc123，且Referer必须匹配当前域名+该token路径。绕过Referer校验即失效，爬虫难以同步维护。
三、服务端逻辑层：无状态、低开销的实时行为裁决
避免Redis等外部依赖，用内存缓存+时间窗口实现轻量级限流与异常标记：
-
IP+UA组合哈希计数器：用Map或LRU缓存（如Node.js的
new Map()）存储hash(ip + ua)→ 请求次数 + 最后时间戳。每请求检查：若5秒内超8次，返回429；若UA含已知爬虫关键词（如“bot”、“spider”、“scrapy”），直接降权至1次/30秒。哈希避免明文存储隐私信息。 -
响应体动态混淆关键字段：对商品价格、用户名、库存等敏感字段，不直接输出明文，而是拆分为多段+Unicode控制符+base64混合编码（如
"¥199.99"），再由前端JS解码渲染。爬虫解析HTML时无法识别语义，人工可读性不受影响。 - 关键接口强制二次挑战（非图形验证码）：对高频敏感接口（如登录、下单），要求客户端先完成一个微计算任务（如SHA-256(时间戳+随机盐)前4位等于某值），结果通过Header提交。浏览器JS毫秒级完成，爬虫需逆向JS逻辑，成本陡增。
四、数据存储层：从源头降低被抓价值
防抓取的终极思路不是“锁死”，而是“让抓到的数据难用、难关联、难更新”：
-
API响应去标识化：数据库查出用户ID、手机号等，不直接返回。改为返回不可逆哈希（如
sha256(userID + secret_salt)）或短时效令牌（JWT，有效期2分钟），前端需配合解密或刷新。即使被抓，数据也无长期价值。 -
动态字段名+JSON Schema模糊化：不固定返回
{"price": 199}，而是每次随机生成字段名（如{"p_7a2": 199}）并附带轻量Schema映射说明（同样混淆）。爬虫需实时解析Schema才能取值，增加解析失败率。 -
关键数据延迟加载+分片加载：首屏只返回骨架HTML，价格、评论、规格等通过独立API异步获取，且每个API路径带时间戳参数（如
/api/price?ts=1748333570），服务端校验ts是否在±30秒内。过期即拒，防止URL被批量复用。
