当"打机器人"变成"打用户"

早上七点，你端着第二杯咖啡，想赶紧刷完新闻去上班。结果呢？盯着屏幕上一堆歪七扭扭的斑马线、摩托车和红绿灯，眯着眼睛辨认了半天。好不容易通过了，整个人都快累趴了。

这种事，你肯定遇到过吧？

而且这情况只会越来越糟。

网站被机器人搞怕了，现在连真人一起整

先说说背后发生了什么。网站管理员现在看到机器人就头疼，一点不夸张。密码填充攻击、垃圾评论、票务倒卖、数据爬取——这些破事儿每年让企业损失几百万，还把用户体验搞得一塌糊涂。

网站想防机器人，合情合理。

问题是，防的方式太蠢了。

以前浏览器拼命在做的——砍掉第三方Cookie、精简浏览器指纹、不保存固定IP地址——这些隐私改进本来是好事。但副作用是，网站用来分辨人机的工具也没了。

结果就是：CAPTCHA越来越多，随便看个文章都要注册登录，打不开页面是常事，VPN用户干脆被全站封禁——就因为有人用VPN干坏事。

这就形成了一个死循环：隐私做得好，用户体验就遭殃。

那些听起来很美、实际上更糟的方案

有些解决办法听起来挺合理，仔细一想就露馅了。

比如Web Environment Integrity（WEI）——让用户证明自己的设备是"可信的"才能访问某些内容。表面上挺对，你想拦住那些被恶意软件控制的"机器人设备"嘛。

但问题来了：谁说了算？

就那么几家操作系统和芯片厂商。他们来决定哪些设备、哪些软件能上网。

这不是换汤不换药吗？原来被广告网络和数据中间商卡脖子，现在换成芯片厂和系统商了。

历史告诉我们，只要把网页访问的控制权集中到少数人手里，迟早会出现单点故障、权力滥用、创新受阻这些问题。

NameOcean一直觉得，域名系统就是个很好的例子。ICANN通过全球分布式的方式管理根区域，没有哪个单一实体能关掉整个互联网。证明"你是真人"这件事，也应该遵循同样的思路。

更好的出路：隐私保护下的"担保"

那有没有一种办法，让网站不需要知道你是谁，只需要确认你是真人、不会刷量就行？

这就是匿名凭证研究的核心思路。

简单说：与其让用户去每个网站单独证明自己的身份或设备可信度，不如让那些你本来就有关系的平台来替你担保。

举个例子。你花钱订阅了VPN服务，是因为重视隐私。但问题是，你用的那个VPN IP段，可能已经被几十个网站拉黑了——因为之前有机器人用过同样的IP。

那问题来了：与其直接封掉所有VPN流量（把正常用户也坑了），你的VPN服务商能不能站出来说："这人是我们付费用户，我们给他设了合理的用量限制，你们放心让他过"？

网站得到了"这不是机器人"的保证。VPN服务商没泄露你的身份，甚至没透露你用了VPN服务。你呢？省了一堆麻烦。

这可不是科幻。苹果的Private Access Tokens就是类似的东西，让iOS设备证明自己不是机器人，同时还不会记录你访问了哪些网站。之所以能实现，是因为苹果控制着硬件，硬件本身就建立了信任基础。

但我们完全可以更进一步——不需要硬件厂商掺和进来。

匿名凭证：技术原理

加密匿名凭证的原理是这样的：一方给你发一个凭证，之后你可以拿这个凭证去证明关于自己的某些信息——但全程不需要暴露你是谁，也不会被追踪。

打个比方。图书馆系统里，图书馆只说"这人是有验证的读者"，但不会记录这张卡在哪个馆借过什么书。你能进去，图书馆知道你是合法用户，谁都没法拼凑出你的阅读档案。

这个逻辑同样可以用在限速上。凭证发行方可以说"这个用户是合法的，没超过用量限制"，但不透露他是谁、凭证从哪来的，也不会让各个网站把你的访问记录串联起来。

这就是"隐私保护担保"背后的密码学基础。跟硬件证明不同，它不需要你去信任高通、英特尔或者苹果来决定谁能上网。

对开发者和企业意味着什么

如果你在做网页应用，这个问题肯定让你头疼过。一方面要防滥用保护服务器，另一方面又不想把正常用户挡在门外。

现在的选择都是些粗活儿。CAPTCHA对人类的识别错误率高达三到五成。封IP把VPN和Tor用户一网打尽。登录墙直接缩小了受众范围，体验也变差。

如果有一套隐私保护的匿名凭证系统，游戏规则就变了。你能更准确地判断流量是否正常，同时不用搞那种侵入式的追踪。用户那边更顺畅，隐私也不打折。

NameOcean密切关注这些进展，因为同样的原则也适用于域名注册和DNS系统。我们见过太多例子——关键基础设施被少数人控制，风险有多大。在一个任何主体都能为用户担保、网站可以自行决定信任哪些发行方的世界里，互联网开放、去中心化的架构才能在每一层都得到保护。

路还很长

这些问题不可能一夜之间解决。要在互联网上推广匿名凭证，得解决密码学、标准化、用户体验一系列难题。各大厂商——Mozilla、Cloudflare、各浏览器团队——正在讨论的方案有前景，但还早。

重要的是，这个问题已经在被认真讨论了。网络不必在隐私和可用性之间二选一。我们完全可以造出能验证真人、同时不监控真人的系统。

在那之前，我们还得继续眯着眼看那些歪七扭八的斑马线。

但也许，不会一直这样。