PHP如何识别并禁止HeadlessChrome爬虫-php教程-PHP中文网

应组合行为特征、服务端检测与动态响应来识别headlesschrome爬虫，而非仅依赖易伪造的user-agent；php中需通过referer、accept、cookie及js验证等多维信号综合判断并分级处置。

php如何识别并禁止headlesschrome爬虫

直接识别并禁止 HeadlessChrome 爬虫，不能只靠 User-Agent 字符串——它极易伪造，且合法浏览器（如 Chrome DevTools 模拟）也可能带类似标识。真正有效的做法是**组合行为特征 + 服务端检测 + 动态响应**，在 PHP 中落地时需避开“一刀切封禁”的误区。

识别 HeadlessChrome 的关键行为信号

HeadlessChrome 默认启动时会暴露多个非人行为痕迹，PHP 虽无法直接读取浏览器 DOM，但可通过请求上下文间接判断：

User-Agent 含可疑关键词但无配套行为：如 UA 中含 HeadlessChrome、Chrome/.*Headless，但同时 $_SERVER['HTTP_REFERER'] 为空、$_SERVER['HTTP_X_REQUESTED_WITH'] 缺失、Accept-Language 格式异常（如只有 en-US 无权重）
无 Cookie 或会话异常：真实用户首次访问后通常有 Set-Cookie 响应，后续请求带有效 Cookie；而多数 HeadlessChrome 脚本不维护会话，$_COOKIE 为空或过期
JS 行为缺失的间接证据：例如页面中本应由 JS 注入的隐藏字段（如 _ts 时间戳、_fp 指纹 hash）未随 POST 提交，或提交时间间隔远小于 800ms（人类操作下限）
Accept 头不完整：正常浏览器发送 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8，而 HeadlessChrome 脚本常简化为 */* 或缺失

PHP 中轻量级拦截逻辑（中间件推荐）

不要在每个控制器里写 if 判断。用 ThinkPHP 或原生 PHP 的前置钩子统一处理，例如：

在入口或中间件中加入：

$ua = $_SERVER['HTTP_USER_AGENT'] ?? '';
$referer = $_SERVER['HTTP_REFERER'] ?? '';
$accept = $_SERVER['HTTP_ACCEPT'] ?? '';
$has_cookie = !empty($_COOKIE);

$is_headless_suspect = (
    (stripos($ua, 'HeadlessChrome') !== false || stripos($ua, 'Chrome/') !== false && stripos($ua, 'Headless') !== false) &&
    (empty($referer) || $referer === '-') &&
    (empty($accept) || strpos($accept, 'text/html') === false) &&
    !$has_cookie
);

if ($is_headless_suspect) {
    // 记录日志，不立即封禁，先限流+打标
    error_log("Suspicious HeadlessChrome-like request from {$_SERVER['REMOTE_ADDR']} at " . date('Y-m-d H:i:s'));
    
    // 可选：写入 Redis 标记该 IP 为高风险，后续请求触发验证码
    // redis()->setex('spider_ip:' . $_SERVER['REMOTE_ADDR'], 300, 1);
    
    // 或返回轻量挑战（如跳转到带 JS 验证的中间页）
    header('Location: /js-challenge?r=' . urlencode($_SERVER['REQUEST_URI']));
    exit;
}

配合前端 JS 做二次验证（防绕过）

仅靠服务端头信息不可靠，必须引入客户端行为反馈：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

在页面 HTML 中注入一段 JS，读取 navigator.webdriver、chrome 对象、plugins.length 等指标，生成一个签名（如 sha256(navigator.platform + screen.width + hasWebGL)）
将签名通过隐藏字段或 XHR 发送到 PHP 接口（如 /verify-browser），服务端比对是否符合真实浏览器常见值范围
若验证失败，后续接口返回 403 或要求重载带验证码的页面

注意：该 JS 不要放在外部文件，避免被爬虫预判过滤；可动态生成变量名或混淆执行顺序。