Playwright 以下几类常见的交互操作极易触发反爬系统的行为风控规则

#html #stealth #anti-detect-browser

在自动化爬虫和 Bot 检测（如 Cloudflare, DataDome, Akamai, PerimeterX 等）的对抗中，风控系统不仅通过检测浏览器指纹（如 navigator.webdriver、CDP 痕迹），还会高度监控用户交互行为的特征。

使用 Playwright 时，以下几类常见的交互操作极易触发反爬系统的行为风控规则：

一、键盘与输入操作（Input Anomalies）

page.fill() 值的直接注入

原理：fill() 会一次性清空输入框并将字符串直接赋值给元素的 value 属性，然后触发 input/change 事件。
检测点：没有触发完整的 keydown、keypress、keyup 事件链；输入耗时为 0ms，字与字之间无时间间隔。

**固定间隔/超人速度的 page.type()**

原理：即使使用了 page.type(text, { delay: 50 })，如果设置固定的 delay，每个字符之间的间隔时间恒定不变。
检测点：人类打字的时间间隔遵循正态分布或对数正态分布，且不同按键组合（如相邻按键 vs 跨排按键）耗时不同。机械的固定间隔或低于 20ms 的超高速输入会被直接判定为脚本。

焦点跳跃（无鼠标点击直接输入）

原理：直接对非聚焦元素调用输入指令，或者直接触发 element.focus()。
检测点：真实用户通常会先通过鼠标点击（或按 Tab 键）将光标聚焦到输入框，再开始打字。无前置点击动作直接产生按键事件属于异常流。

二、鼠标轨迹与点击操作（Mouse Anomalies）

瞬移与直线移动（mouse.move）

原理：直接从坐标 $A (x_{1}, y_{1})$ 跳转到坐标 $B (x_{2}, y_{2})$ ，或按绝对直线轨迹等速移动。
检测点：人类移动鼠标具有加速度/减速度变化、微小抖动（手抖）、 overshoot（稍微越过目标再回弹）以及贝塞尔曲线特征。

每次都精准点击元素正中心

原理：Playwright 的 click() 默认会自动计算目标的边界框（Bounding Box），并精准点击中心点 (width / 2, height / 2)。
检测点：连续多次点击不同按钮或页面元素时，点击相对坐标始终为精确的 (50%, 50%)，概率极低。

点击时间差为 0（mousedown 与 mouseup 同步）

原理：Playwright 触发 click 时，mousedown 和 mouseup 之间的时间差几乎为零。
检测点：人类按下鼠标左键到松开通常有 50ms ~ 150ms 的物理按压延迟。

无 hover 过程直接点击

原理：元素在被点击前，没有触发 mouseenter / mouseover 事件，或者鼠标未在元素区域停留（Hover）就直接触发了点击。

三、页面滚动与视角操作（Scrolling Anomalies）

window.scrollTo() 或瞬间滚动

原理：使用 JavaScript 直接修改 scrollTop，或者调用无平滑过渡的滚动方法。
检测点：没有 scroll 事件的连续渐进触发，页面位置在 1 帧内发生巨大跳跃。

机械式定速/定步长滚动

原理：使用 page.mouse.wheel(0, 500) 进行固定像素值的等频滚动。
检测点：真实用户的滚轮操作或触控板滑动具有惯性衰减和不规则的脉冲特征。

四、流程控制与响应时序（Timing Anomalies）

毫秒级超人反应（0ms 延时响应）

原理：页面元素（如弹窗、验证码、提交按钮）刚渲染到 DOM 树的瞬间（几毫秒内），代码就立即发起了点击或交互。
检测点：人类视觉渲染 + 大脑反应 + 手部肌肉动作最快需要 150ms ~ 300ms。

跳过常规交互路径

原理：直接触发隐藏按钮的点击，或者未阅读/未滚动页面直接拉到最底部点击“同意”。
检测点：风控会在关键路径设置埋点（如判断用户是否触发了遮罩层的 hover、是否滚动查看了条款内容）。

五、底层 API / CDP 暴露的操作痕迹

未设置 isTrusted: true 的合成事件

原理：通过 page.evaluate() 手动创建并触发 new Event('click') 或 dispatchEvent。
检测点：浏览器原生 DOM 事件的 event.isTrusted 属性为 true，而 JS 脚本创建的合成事件该属性恒为 false，无法被篡改。

频繁调用 CDP 模式导致的特征暴露

原理：使用 Playwright 某些高级模拟 API（如强行修改设备像素比、模拟 Touch 事件、开启 DevTools 拦截等）。
检测点：特定的 CDP 指令会在浏览器 Context 中留下注入痕迹，被高级风控（如 Akamai / DataDome）捕获。

💡 应对与伪装建议

检测维度	优化方案
输入	使用随机化延迟打字：为 `page.type()` 增加正态分布的随机延时；关键输入框模拟拼写错误与退格修正。
鼠标	引入贝塞尔曲线（Bézier Curve）算法生成鼠标轨迹（如使用 `ghost-cursor` 库）；点击时加入像素级的随机偏移。
滚动	结合 `mouse.wheel()` 实现平滑惯性滚动，并在滚到底部前停顿 1~3 秒模拟阅读。
时序	在任何关键点击前添加 200ms ~ 800ms 的随机 `page.waitForTimeout()` 模拟人类思考和反应时间。
框架层面	配合 `playwright-stealth` 插件或 Patch 版无头浏览器（如 `undetected-playwright`）掩盖 CDP 及浏览器层面的自动化特征。