为什么谷歌浏览器在无痕模式下依然无法避开某些网站的追踪？

关于无痕模式，有个真相你可能一直没意识到：它的隐私保护，远没有想象中那么彻底。本地数据确实清得干干净净，但网站在识别你这件事上，其实还有很多后门可走。

谷歌浏览器无痕模式关闭后，本地不会留下任何记录——但网站依然能通过设备指纹、IP地址、网络层行为等手段跨会话认出你。这不是功能失效，而是它设计上的固有边界。

无痕模式不保存数据，但不隐藏设备特征

无痕窗口会清空 Cookie、历史记录和表单数据，但浏览器在渲染 canvas、WebGL、字体列表、音频上下文等接口时，暴露出的硬件与软件组合信息，依然能被脚本实时采集。这些参数组合有很高的唯一性——哪怕每次新开无痕窗口，同一台电脑生成的指纹也几乎不变。

举个例子：你访问一个使用了 fingerprintjs2 或 clientjs 的页面，它根本不需要存储任何本地数据，只需几毫秒内调用十几个 API，就能生成一个稳定的设备标识。

网络层信息完全不在无痕控制范围内

你的公网 IP 地址、AS 号、基于 IP 库的地理位置、TLS 指纹、HTTP/2 设置帧顺序、DNS 查询路径——这些全部由路由器、ISP、企业网关或 CDN 直接获取。无痕模式运行在应用层，对底层传输信息完全没有干预能力。

公司内网员工用无痕窗口登录邮箱，IT 管理员照样能在防火墙日志里看到完整的请求时间、目标域名、传输字节数，甚至终端 MAC 地址绑定记录。一个都跑不掉。

扩展程序默认绕过无痕隔离机制

除非你在 chrome://extensions 页面为每个扩展手动关闭“可在无痕窗口中运行”开关，否则已授权的插件——比如广告拦截器、密码管理器、翻译工具——照常注入脚本、读取 DOM、监听网络请求。

某些分析类扩展甚至会主动上报当前标签页 URL 和用户滚动深度。这些行为在无痕窗口里不会被禁止，也不会弹出二次确认。

第三方脚本拦截仅限实验性名单制启用

先说第一种做法：检查是否已经启用“无痕模式下阻止脚本”的实验功能。
① 在地址栏输入 chrome://flags/#incognito-script-blocking → 回车
② 找到“Incognito mode script blocking”选项 → 设为 Enabled
③ 重启浏览器生效

这个功能只拦截 MDL（标记域名列表）中的第三方脚本，而且只有当它们尝试读取 canvas、WebGL、字体等指纹敏感 API 时才会触发。没被列入名单的追踪脚本依然照常运行。

第二种做法：手动添加自定义屏蔽规则。
进入 chrome://settings/content/ja vascript → 点击“添加”→ 输入 tracker.example.com → 保存
注意：此操作会全局禁用该域名所有 JS，有可能造成正常网页功能异常。