浏览器指纹 API

Q: 浏览器指纹能确定一个人的身份吗？

不能。EchoScan 提供设备连续性与访问风险上下文，不证明个人法定身份、意图或欺诈事实；最终业务判断由客户完成。

EchoScan 浏览器指纹 API 面向需要在敏感业务动作之前获得设备连续性与访问风险上下文的在线服务。Browser Verifier 采集并提交当前浏览器环境信号，成功后返回服务端签发的 { imprint }；客户后端再用 Secret API Key 查询 Lite／Pro 共用的基础 Report。这一分层适用于注册、登录、试用发放、API Key 创建、结账等由服务端完成最终决策的流程，同时避免把 Report 凭证暴露给浏览器代码。

接入流程如何工作

在 Console 创建 Browser Environment，并配置精确 Allowed Origins。
在客户控制的页面接入 Browser Verifier，使用可公开的 Environment ID 配置实例。
在受保护动作发生时调用 run()，浏览器提交完成后取得 { imprint }。
把 Imprint 与真实的注册、登录、额度或交易请求一起发送到客户后端。
服务端使用 Secret API Key 查询 GET /api/v1/fingerprint/report/{imprint}。
把 risk.status 与 Report 字段、账号、支付、权益和验证数据组合后执行策略。

最终的放行、增加验证、审核或拒绝由客户后端决定。EchoScan 不返回客户专属的 recommended_action。

为什么 Browser Verifier 只返回 Imprint

Imprint 是服务端签发的 Report 标识，不是完整设备 Report，也不是可重复使用的秘密。浏览器只携带这个小型标识，就能把设备上下文连接到现有业务请求，同时把受保护的 Report 查询保留在后端。

完整 Report 可能包含设备、浏览器、操作系统、网络、连续性和近期活动上下文。它应与客户的其他服务端证据放在一起，由策略根据误判成本和业务动作含义完成判断。

Environment ID 与 Secret API Key 的边界

Environment ID 的格式是 env_<32 lowercase hex>。它是可公开的浏览器部署标识，EchoScan 会将请求 Origin 与 Browser Environment 的精确允许列表进行校验。Environment ID 不能读取 Report、查询 History 或管理 Workspace。

Secret API Key 用于鉴权 Report 与 History 请求，只能保存在服务端运行环境或密钥管理系统中。不要把它写入浏览器 bundle、公开环境变量、HTML、localStorage、日志或客户端请求。

Browser Environment 与 Secret API Key 是两个独立资源。轮换 Key 不会改变 Environment ID；停用 Environment 也不会撤销 Key。

Lite 与 Pro Report

Lite 与 Pro 使用相同的基础 Report 结构，包含设备连续性、当前访问风险与原因、浏览器、操作系统、网络和近期活动。可选字段按实际信号与数据返回。

Lite 与 Pro 均支持 History 和可选 Account Map，包括新建关联与已有快照读取。Pro 提供更高请求额度、速率和 Browser Environment 容量。History 查询指定时间范围；基础 Report 中的连续性摘要和近期活动由两个套餐共同提供。
公开风险状态是 PASS、SUSPICIOUS 与 DECEPTIVE。

从 Lite 开始，在自己的业务策略中评估基础 Report。需要更高请求额度、速率或 Browser Environment 容量时，再选择 Pro。