阻止第三方Cookie和网站数据

上周帮朋友修电脑，打开Chrome的第方隐私设置一看——第三方Cookie全开着，网站数据攒了快2个G。和网他一脸茫然：“这玩意儿不是阻止站数默认安全的吗？”我当场给他关掉，顺手清了数据。第方三天后他发消息说，和网那些烦人的阻止站数精准广告突然少了一大半。这事挺有意思，第方一个开关就能让上网体验发生肉眼可见的和网变化。

第三方Cookie到底是阻止站数什么？简单说，你访问A网站，第方A网站自己种的和网Cookie叫第一方，用来记住你的阻止站数登录状态、语言偏好。第方但A网站里嵌了广告联盟的和网代码，广告联盟也在你浏览器里塞了个Cookie——这就是第三方。它的核心用途只有一个：跨站追踪。你在购物网站搜了“跑鞋”，转头看新闻，侧边栏全是跑鞋广告。不是新闻网站知道你想买鞋，是那个广告联盟的Cookie把信息串起来了。

有人担心关掉之后网站会崩。我用了三年多，遇到问题的次数一只手数得过来。银行、邮箱、电商登录全正常——这些靠的是第一方Cookie。真正受影响的只有两类：一是嵌入式评论系统（比如Disqus），可能无法自动登录；二是某些用第三方Cookie做A/B测试的网站，你可能会反复看到同一个版本的页面。代价很小，收益却很明显：广告联盟拼不出你的完整画像了。它们只能看到你在单个网站的行为，碎片化，价值暴跌。

怎么关？Chrome在设置 → 隐私和安全 → 第三方Cookie，选“阻止第三方Cookie”。顺便把“预加载页面”也关了，那东西会提前加载你可能访问的链接，同样在泄露浏览习惯。Firefox更彻底，默认就拦第三方Cookie，还能开“严格模式”直接隔离跨站追踪器。Safari的智能防追踪（ITP）更狠，连第一方Cookie里的跨站参数都给你删了。Edge跟Chrome同源，设置路径几乎一样。

光拦Cookie不够。网站数据（Site Data）是另一个大头，包括localStorage、IndexedDB、缓存、Service Worker。有些追踪脚本不用Cookie了，改用localStorage存唯一ID，照样能跨站识别你。Chrome里有个“查看所有网站数据和权限”，点进去按大小排序，你会看到一堆从没听过的域名，每个都存了几十MB。我自己的习惯是每月清一次，保留常用网站的登录状态，其他全删。Firefox的“Cookie和网站数据”管理更细，可以按域名单独删。

移动端更隐蔽。Android上的Chrome和iOS上的Safari设置里都有类似选项，但很多人从来没点进去过。iOS的“阻止跨站跟踪”默认开着，但“隐藏IP地址”得手动开——那个功能对防追踪更管用，因为它连你的大致位置都不让网站知道。Android Chrome没有隐藏IP的选项，只能靠阻止第三方Cookie加定期清数据。

说个反直觉的事：有些网站检测到你阻止了第三方Cookie，会弹窗求你关掉拦截器。别理它。那个弹窗本身就是追踪脚本在试探你的隐私设置。真正良性的网站根本不会因为你不让第三方追踪就罢工。我常去的几个技术博客、新闻站、论坛，全都没问题。唯一一次遇到功能异常是个小众图床，上传按钮点不动——后来发现它用第三方Cookie做CSRF防护，换了个图床就解决了。

最后提一嘴“网站数据”里的一个坑：有些网站把追踪ID藏在favicon缓存或者字体缓存里，清Cookie清不掉。Chrome的“清除浏览数据”里要勾选“缓存的图片和文件”和“Cookie及其他网站数据”，两个都选。Firefox在“清除最近的历史记录”里选“Cookie和网站数据”加“缓存”。别偷懒只清Cookie，那等于只扫了客厅，卧室门还开着。

关掉这些开关不会让你从互联网上消失。ISP、VPN、网站服务器日志照样能看到你的IP和访问记录。但至少广告联盟拼不出你的跨站行为了，那些“刚搜完就出现”的广告会消停很多。隐私保护从来不是全有或全无，而是一点一点把默认设置掰向对自己有利的方向。花五分钟改几个选项，比事后抱怨“怎么又被追踪了”划算得多。