不用 JavaScript，如何区分读者与 Bot？
Bot Detection Without JavaScript: What My Blog Measured
我在个人博客上发现，仅靠浏览器 User-Agent 无法准确区分真实读者与自动化程序。通过 Cloudflare Worker 分析网络元数据、Fetch Metadata 和请求头，我将 74.5% 的疑似 Bot 请求从浏览器流量中剥离。对比 Cloudflare Web Analytics 的数据，脚本计数器与边缘计数器存在巨大差异，揭示了单纯依赖脚本无法捕捉的自动化访问真相。文章详细拆解了基于网络 ASN、Sec-Fetch-Mode 等特征的分类规则，并反思了将签名验证等同于人类阅读的错误假设。最终目标是实现完全的透明化，明确知道是谁在通过 Meshclaws 或 Hermes 等 AI 代理阅读文章，而非盲目统计数字。
我甚至想知道那些运行在家庭网络上的无头浏览器，比如使用 Playwright 或 Cypress 的 Meshclaws 或 Hermes 云代理等任何类型的自动化程序，我们不想误判或屏蔽它们，相反，我想拥抱它们，任何人都可以阅读我的文章。