用户代理
User-Agent（中文常译：用户代理）是超文本传输协议（HTTP）中的一个请求头字段（Request Header Field），用于标识发起请求的客户端软件（通常称为用户代理，User Agent）的产品名称、版本号、操作系统及平台等信息。该字段由客户端在每次HTTP请求中发送至服务器，服务器可据此识别客户端类型，进而实现内容适配、错误排查或统计分析等功能。[1]
| 协议 | HTTP |
|---|---|
| 类型 | 请求头字段（Request Header） |
| 标准 | RFC 9110 |
| 首次使用 | 1993年（Mosaic浏览器） |
User-Agent 字符串的历史可追溯至1993年，美国国家超级计算应用中心（NCSA）发布的 Mosaic 浏览器首次在请求中携带该字段，其格式极为简洁，通常形如 Mosaic/0.9，斜杠前为产品名称，斜杠后为版本号。[2]
随后，Netscape Communications 开发的 Netscape Navigator（内部代号 Mozilla，意为" Mosaic Killer "）延续了产品名加版本号的基本格式，并引入了语言、平台及加密类型等附加信息。Netscape Navigator 2 的 User-Agent 格式如下：
Mozilla/Version [Language] (Platform; Encryption)
其中，"Mozilla" 这一标识自此成为 User-Agent 字符串中最具历史延续性的产品令牌（product token）。[2]
1996年，微软发布 Internet Explorer 3。由于当时 Netscape Navigator 占据市场主导地位，大量服务器通过检测 User-Agent 中的 "Mozilla" 令牌来决定是否向客户端发送包含 HTML 框架（frames）等高级特性的页面。为确保兼容性，IE 3 的 User-Agent 字符串采用了如下格式：
Mozilla/2.0 (compatible; MSIE Version; Operating System)
此举使 IE 在服务器端检测中被识别为 Mozilla 兼容浏览器，从而获取完整页面内容。这一"伪装"行为打破了浏览器标识的原有惯例，并引发了后续连锁反应。[2]
2003年，苹果公司发布 Safari 浏览器，其采用 WebKit 渲染引擎（源自 KHTML）。为避免被服务器误识别或屏蔽，Safari 的 User-Agent 字符串同时包含了 Mozilla、KHTML、Gecko 及 Safari 等多个标识，形如：
Mozilla/5.0 (Platform; Encryption; OS-or-CPU; Language) AppleWebKit/AppleWebKitVersion (KHTML, like Gecko) Safari/SafariVersion
此后，Google Chrome 基于 WebKit（后转为 Blink）发布，其 User-Agent 在 Safari 的基础上进一步追加 Chrome 标识，形成了现代浏览器 User-Agent 字符串冗长而复杂的面貌。Opera 浏览器在早期曾坚持简洁准确的自我标识格式 Opera/Version，但自第9版起也为兼容目的提供了伪装为 Firefox 或 IE 的选项。[2][3]
根据 RFC 9110 的定义，User-Agent 字段的语法结构如下：
User-Agent = product *( RWS ( product / comment ) )
其中，product 由产品名称（token）与可选的产品版本（product-version）构成，二者以斜杠分隔；comment 则可包含附加说明信息。多个产品标识按重要性递减顺序排列。RFC 9110 建议发送方仅提供必要的产品识别信息，禁止在标识中嵌入广告或其他非必要内容，并应避免生成过度冗长、细粒度的字段值，以降低请求延迟及用户被非自愿识别（即"指纹识别"，fingerprinting）的风险。[1]
User-Agent 字符串的主要用途包括：
- 内容适配：服务器根据客户端浏览器类型、版本及操作系统，返回经过针对性优化的页面或资源。
- 兼容性处理：识别存在已知兼容性问题的客户端版本，服务器可据此调整响应内容或提供替代方案。
- 统计分析：网站运营方通过分析 User-Agent 数据，了解访客所使用的浏览器及操作系统分布。
- 机器人识别：网络爬虫（crawler）及自动化工具通常会在 User-Agent 中声明自身身份，以便服务器区分人类用户与机器流量。
由于传统 User-Agent 字符串通常包含浏览器名称、完整版本号、操作系统、平台架构乃至设备型号等细粒度信息，这些数据可被服务器用于构建用户画像，实现跨站追踪。RFC 9110 明确指出，过度详细的 User-Agent 字段值会增加用户被"指纹识别"的风险。[1]
为缓解上述隐私风险，IETF 制定了 HTTP Client Hints 框架（RFC 8942），并在此基础上发展出 User-Agent Client Hints（UA-CH）机制。[4] 该机制允许服务器通过 Accept-CH 响应头主动请求所需的客户端信息，将原本被动暴露的 User-Agent 数据转变为主动、可控的信息披露模式。[4]
Google Chrome 自2022年起逐步推进 User-Agent Reduction 计划，冻结并简化默认 User-Agent 字符串中的版本与平台信息（例如将 Chrome 版本号固定为 0.0.0），同时鼓励开发者迁移至 User-Agent Client Hints API 获取必要的客户端详情。[5] 这一举措旨在减少被动指纹识别的攻击面，同时通过显式授权（opt-in）机制使客户端和隐私研究人员能够追踪哪些站点正在收集此类数据。[4][5]