xiaohongshu-skills NetLog 实战反向推导小红书自动化的五层反爬检测维度【免费下载链接】xiaohongshu-skillsxiaohongshu-skills项目地址: https://gitcode.com/gh_mirrors/xi/xiaohongshu-skillsxiaohongshu-skills是一个用真实浏览器 真实账号操作小红书网页版的开源自动化技能而它内置的NetLog网络监听器正是反向推导小红书自动化检测维度的最佳工具它能记录页面发起的全部 HTTP 请求自动归类指纹上报、签名失败、Cookie 变化等风控信号还能用一条 CLI 命令直接输出风险等级结论。本文带你 5 步拆解这个检测黑盒是如何被打开的。第一步认识 NetLog —— 藏在浏览器扩展里的探测器很多自动化工具被风控打了才发现问题NetLog 的思路相反先把小红书的检测手段摸清。它运行在 xiaohongshu-skills 自带的 Chrome 扩展里采用双通道采集通道技术拿到什么外层通道chrome.webRequest四阶段监听extension/netlogger.js请求体、完整请求头含 Cookie / 签名头、响应头、Set-Cookie、302 跳转内层通道MAIN world hook fetch/XHRextension/interceptor.js业务域响应体、应用层 Header两路数据按(method url 2 秒时间窗)模糊关联合并成一条记录关联逻辑见 extension/netlogger.js存入 500 条环形缓冲并持久化到chrome.storage.local所以关掉 popup 再打开数据还在。第二步彩蛋激活 NetLog 的 3 个动作NetLog 是零感知设计——普通用户完全看不到它需要触发彩蛋在 Chrome 加载extension/目录确认XHS Bridge扩展已启用点击工具栏扩展图标打开 popup500ms 内连点标题 XHS Bridge 5 次计数逻辑见 extension/popup.js。激活后 popup 会立即从 220px 扩宽到 580px底部出现 NetLog 卡片提供时序流 / 检测维度两个 tab、清空按钮和 JSON 导出按钮UI 定义见 extension/popup.html。未激活时所有监听器直接 early return零开销。第三步读懂检测维度tab 的 8 类信号每条请求入栈前都会被自动归类extension/netlogger.js按优先级从高到低类别判定条件意味着什么signature_failure302 跳转带error_code30003x请求签名校验失败风控已识别risk_redirect302 跳到/404或/login被风控拦截跳转business_errorHTTP 401 / 403 / 461 / 999业务层拒绝999 通常是封禁fingerprint_uploadhost 含 fp/sec/track 等关键字或请求体含 webdriver/navigator 字段浏览器指纹正在上报cookie_changeSet-Cookie 出现新增/移除与同 host 上一条对比风控可能在打标记business_api路径含/api/且状态 2xx正常业务请求page_nav/other主框架导航 / 其余背景流量时序流里带 ★ 的三条指纹上报 / 风控跳转 / 签名失败是重点关注项点击任意一行可展开完整 JSON 详情。第四步NetLog 数据反推出的五层反爬体系把实测抓到的数据按 host 和端点聚合后小红书的反自动化体系呈现出清晰的五层结构完整调研见 docs/superpowers/specs/2026-05-19-xhs-netlogger-design.md 附录层级组件采集内容第 1 层阿里云 WAF 边缘acw_tcCookieIP / UA 信誉 频率跨子域统一会话追踪第 2 层Shield SDK/api/sec/v1/shield/webprofile浏览器/设备指纹加密上报navigator / canvas / webgl / audio实测 sdkVersion 4.3.5第 3 层远程下发脚本/api/sec/v1/scripting服务端按场景动态下发 JS采集鼠标/键盘节奏、检测 webdriver 痕迹第 4 层行为埋点t2.xiaohongshu.com/api/v2/collectprotobuf 编码每个操作 1-10 条含中文操作标签第 5 层服务端规则引擎ML 规则混合最终输出isRiskUser判定其中最关键的两个发现isRiskUser服务端判定回传每个业务 API 调用后前端 SDK 会把服务端风控判定pass/risk/limit/block主动上报到 APMapm-fe.xiaohongshu.com/api/data——这是风控自曝的窗口自动化过程中实时读它、从pass变其他状态立即停手即可x-s-common单签名方案实测 27 条业务 API 中 25 条带x-s-commonheader主站覆盖率 92%早期假设的xs/xt双签名已废弃0 命中。实测数据也验证了采集完整性浏览/搜索场景抓到 146 条请求isRiskUser全为pass40/40创作中心填表场景 284 条行为埋点t2占 71 条。第五步一条 CLI 命令拿到风控结论NetLog 数据不只是给 popup 看的——项目把它暴露成了 CLI 命令让 AI Agent 在操作过程中能主动自检命令注册见 scripts/cli.py# 获取最近 50 条原始记录 python scripts/cli.py get-netlog --limit 50 # 生成结构化风控报告 python scripts/cli.py risk-reportrisk-report背后是纯函数分析器 scripts/xhs/risk_analyzer.py输出包含risk_level、detection_axes、high_risk_signals等字段数据经本地 WebSocket 桥接scripts/xhs/bridge.py从扩展取回。风险等级判定规则等级触发条件high出现signature_failure或 HTTP 999mediumHTTP 401/403/461、acw_tc变更、风控跳转low有告警签名覆盖率不足、行为埋点缺失等safe无任何风险信号报告里还有个反直觉的告警如果检测不到t2/collect行为埋点反而会提示缺失埋点本身即异常——小红书的检测逻辑里什么都不上报比正常上报更可疑。实操建议看到信号就停手结合 NetLog 的实测结论给自动化操作者的核心策略可以浓缩为三条实时监听isRiskUser——从pass变为任何状态立即停止操作这是唯一的服务端直接信号保持指纹一致性——不清a1Cookie、不切换 device_id、不屏蔽任何埋点上报让acw_tc正常流转行为拟人化——操作间高斯分布停顿均值 2.5s、鼠标走贝塞尔曲线、输入带随机节奏这些恰好对应第 3、4 层的检测点。另外提醒两个已知限制切换账号不会自动清空 NetLog需手动清空跨域风控域的响应体受chrome.webRequest限制不可见。这些边界都记录在 docs/superpowers/plans/2026-05-19-xhs-netlogger.md 的冒烟测试章节里。常见问题QNetLog 会影响页面性能吗启用状态下预估额外 CPU 开销 5-10%请求峰值时静态资源图片/字体/样式表已被过滤不入栈单条请求体截断 8KB、响应体截断 4KB500 条缓冲总量远低于 storage 限额。Q为什么有些请求没有响应体响应体只能由页面内层的 fetch/XHR hook 补齐跨域上报域如 APM、t2拿不到响应体但它们的风控价值主要在请求体里指纹数据、isRiskUser等所以不影响分析。Q普通用户需要开 NetLog 吗不需要。它是给自动化使用者和风控研究者用的诊断工具日常使用零感知彩蛋不触发就不采集任何数据。总结NetLog 的价值不只是抓包——它把小红书反爬的黑盒拆成了可观测的五层结构WAF 边缘 → 指纹 SDK → 远程检测脚本 → 行为埋点 → 服务端判定并找到了isRiskUser这个服务端自曝的风控信号。配合get-netlog和risk-report两个 CLI 命令自动化操作可以从被风控打懵变成实时感知、主动规避。想深入了解完整设计决策双通道融合方案、数据 Schema、错误处理边界建议直接阅读 docs/superpowers/specs/2026-05-19-xhs-netlogger-design.md里面还包含端到端冒烟的实测数据表。【免费下载链接】xiaohongshu-skillsxiaohongshu-skills项目地址: https://gitcode.com/gh_mirrors/xi/xiaohongshu-skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
