Web Bot Detection是一种无缝验证策略，通过基于 JavaScript 的 Web SDK 增强 Web 浏览器场景下的机器人识别和对抗能力，适用于 Web/H5 页面（包括通过应用和小程序内置浏览器在线加载的页面）。

开启此功能后，云安全平台会在所有HTML页面中自动引用JS SDK，JS SDK会收集三类信息：

• 浏览器基本信息：浏览器语言、屏幕分辨率、时区等。
• 环境风险信息：检查浏览器端是否使用了Webdriver等自动化工具。
• 用户交互行为事件：键盘、鼠标、触摸屏事件。JS SDK仅收集与个人隐私无关的信息，不收集具体的输入内容。

云安全平台在响应阶段嵌入的JS SDK如下：

云安全平台在请求阶段携带的cookie如下：

另外，云安全平台还会在该站点下增加以下用于异步接口请求的URL token：

配置说明

• 浏览器特性验证：基本功能，不支持单独禁用。当开启基于客户端的检测，且 Web Bot 检测动作不为“未使用”时，持续验证客户端是否具有 Cookie 和 JavaScript 特性。当 Web Bot 检测动作为“拦截”时，该策略实际动作会自适应。对于一般的 GET 请求，如果云安全平台发现验证未通过，会自适应发起“Bot Managed Challenge”，能通过验证的请求会被放行，而不会直接阻断。
• 自动化工具检测：开启后，持续检查客户端环境，验证请求是否由已知的自动化工具（包括 Webdriver、PhantomJS 等）发起，对于异常请求，将根据配置的操作进行处理。
• 破解行为检测：开启后，持续监控浏览器是否试图破解 JS SDK 核心代码，对于异常请求，将根据配置的动作进行处理。
• 页面反调试：开启之后，JS SDK会持续监测浏览器端是否开启了调试工具，并干扰调试行为。
• 交互行为验证：开启后持续检测页面用户交互行为，对于未达到最小业务交互次数的请求，将按照配置的处理动作进行处理，交互行为包括键盘、鼠标、触摸屏的交互次数，不涉及特定的敏感用户信息。
  • 验证路径：需要验证交互行为的URI。例如/test?id=1。
  • 最小交互次数：请求前当前页面的键盘按钮事件次数、鼠标点击事件次数、触摸屏移动事件次数总和的最小值。
  • 匹配方式：默认是完全匹配验证URI，选中时则使用正则表达式匹配验证URI。

注意力：

• 配置交互行为验证时，建议每条规则只验证一个URI，如果使用正则匹配，需要进行充分验证，避免匹配到非预期的URI。
• 在填写“未内嵌 JS 的 HTML 页面”时，页面上发起的 POST 和异步接口请求必须添加到“特定客户端的旁路流量”中，否则无法通过浏览器特性验证。一般情况下不建议填写，建议填写前先与您的技术支持专家确认。