不同渲染后端的浏览器隐私验证

BotBrowser 文档说明 Linux 下可用的软件渲染 backend 支持 WebGL 和 WebGPU；实际结果取决于所测 backend、浏览器模式、宿主和 profile，不保证适用于所有 GPU 或 Linux 环境。

渲染后端影响的不只是帧率。Canvas、WebGL 和 WebGPU 会暴露与浏览器和图形环境有关的信号。当工作流从工作站迁移到 Linux 服务器、软件渲染或 headless 会话时，这些信号可能发生变化。浏览器隐私评估应把渲染路径和 profile、浏览器版本放在同一份发布记录中。WebNN 是与之相邻的另一类浏览器接口，其可用性和后端问题见 WebNN 可用性、后端与浏览器隐私。

要点

• 将浏览器版本、匹配 profile、宿主、显示模式和渲染后端记录在同一个 matrixRow 中。
• 使用真实支持的页面流程，并在改变单个输入前记录 completionState。
• 将 Canvas、WebGL、WebGPU 能力与 CPU 时间、截图延迟分开验收。
• 必需能力或可见流程超出支持边界时暂停发布并保留回滚路径。

内容导航

• 先建立渲染矩阵
• 选择真实页面流程
• 控制变化顺序
• 实践结论

先建立渲染矩阵

记录 BotBrowser 版本、匹配的 profile family、目标平台、宿主系统、浏览器模式、显示服务和渲染后端。保持应用工作流不变，每次只改变一个环境因素。至少比较一个 headed 工作站、一个 headless 服务器和一个生产使用的宿主类型。

这不是要求测试所有机器，而是覆盖实际支持的组合。profile 和浏览器大版本必须成对记录。一个版本上的 profile 结果不能替代另一个大版本的验证。

选择真实页面流程

选择真正使用图形能力的支持页面，例如报告查看器、文档工作区、媒体页面或图形仪表板。记录起始页面、加载图形表面的动作、预期页面状态和完成条件。测试数据应是合成数据，公开记录不要包含账户名、私有 URL、截图或会话标识。

保持 profile、浏览器版本、路由、存储、viewport 和页面 revision 不变，只改变渲染环境。如果应用页面已经变化，先更新工作流记录，再判断是否是浏览器差异。

分开看隐私与性能。

渲染后端可能改变 CPU、启动时间、截图延迟和内存压力。这些是运行特征，不自动等于隐私问题。为信号一致性和运行性能分别设定验收边界，并保存聚合结果，不要公开私有主机或客户数据。

控制变化顺序

当输出变化时，先恢复已接受的 baseline 并重复相同流程。之后一次只改变浏览器版本、匹配 profile、宿主类型、显示服务、图形后端或应用 revision 中的一项。支持流程受到影响时暂停推广，保留上一版本和回滚负责人。

使用 browserMajor、profileSha、hostClass、display=:88、backend=software、appRevision 和 baselineStatus 等字段记录变化，审阅者就能知道改变了哪一个输入，而不需要公开私有主机地址或渲染器字符串。

矩阵中的 matrixRow 代表一个具体组合，不是通用兼容性承诺；journeyRevision 标识步骤与可见完成判据，completionState 记录页面实际状态，baselineStatus 说明已接受配置是否先通过该判据。这些字段不能互换：backend 是图形路径，完成状态是用户能看到的结果。每行还应保留负责团队和复核时间，便于在版本或主机变化后安排下一次判断。

把结果分成三类。工作流达到文档化可见状态时记为“完成”；页面加载但必需图形操作不可用时记为“能力不可用”；工作流完成、但内容或行为出现未归因差异时记为“应用结果不同”。每类应附一句说明选择该类别的观察，不要只给一个通过/失败标签，也不要从差异直接推断浏览器根因。

评估候选项时，先在同一主机和 fixture 上重跑已接受行。如果它已不满足判据，先修复基线，暂不判断候选。基线通过后，再用相同流程、视口、存储初始状态和应用 revision 运行候选，每次只改变一个相关配置。出现差异时回到已接受行确认一次，排除瞬时故障后再扩大调查。这样可以避免把图形库、profile 和应用部署的同时变化误当成单一原因。

回退是恢复完整的已知组合：浏览器/profile 对、宿主策略、显示路径、路由与存储策略以及渲染后端。仅替换旧浏览器二进制可能无法恢复原状态，因为主机库或显示服务也可能已经变化。公开说明应列出该行覆盖的目标平台、浏览器线、profile family、模式、后端和流程；未评估的视频、移动端、WebGPU 或 headed 环境也应明确说明。

定义公开边界。

公开说明应写明支持的浏览器线、profile family、平台和渲染路径，也应说明不保证未支持环境或所有像素完全一致。在选定 profile 和文档化支持边界内，读者可以复现比较方法，而不需要内部实现细节。

比较信号族。

Canvas 输出、WebGL 信息、WebGPU 能力、屏幕几何和 timing 可能相关，但不完全相同。一个数值保持不变，不能证明完整的渲染身份一致。首先检查用户可见的页面结果，再审查产品承诺范围内的图形信号族。当差异需要更深入的检查时，可参考 V8Log Forensics：面向隐私验证的运行时证据 中描述的运行时证据。

建议回答四个问题：页面是否完成真实工作流，图形 API 是否符合目标 profile，headless 与 headed 是否满足支持边界，后端变化是否只改变性能而没有改变身份策略。

不要把公开文章写成检测脚本。读者需要比较方法和支持边界，不需要内部阈值、完整 API 清单或私有日志。

明确记录软件渲染。

Linux 服务器可能因为没有 GPU、容器限制或可重复性要求而使用软件渲染。记录后端、显示服务、共享库和浏览器模式。软件渲染可能改变启动时间、CPU、截图成本和图形能力，这些变化应分别设定隐私一致性和运行性能的验收边界。软件渲染及其能力回退的详细说明见 WebGL 软件渲染、能力回退与隐私。

如果后端缺少工作流必需的能力，应停止该矩阵行并选择受支持的后端。不要用未经评估的 flag 改变隐私边界。页面在会话中遇到 WebGPU 设备丢失时如何恢复，见 WebGPU 设备丢失后的恢复：保留用户任务与页面状态。

相关内容。

Canvas Fingerprinting、WebGL Fingerprinting 和 WebGPU Fingerprinting 介绍相关信号族。跨平台浏览器一致性评估 介绍宿主和目标矩阵。Linux 图形后端指南 介绍服务器渲染选择。

来源

• BotBrowser Linux GPU backend 文档
• W3C WebGPU 规范
• Khronos WebGL 规范

实践结论

• 浏览器版本和 profile family 成对记录。
• 记录宿主、目标、模式、显示路径和渲染后端。
• 使用真实支持的工作流，而不是空白页面。
• 将 Canvas、WebGL、WebGPU、显示和 timing 作为相关信号族检查。
• 内部 probe、阈值、日志和客户证据保留在受控记录中。

为每个支持环境维护一个命名的 matrixRow，重复同一 journeyRevision，并将可见完成状态与隐私信号、性能分开记录。只有浏览器/profile、宿主、显示模式和所需图形操作都处于文档化边界内，才提升候选路径；否则保留已接受行和回滚包。