Selenium规避检测需六步：禁用无头模式、设置随机延迟、轮换User-Agent与分辨率、代理IP池轮换、执行CDP命令隐藏webdriver痕迹、使用stealth.min.js或亮数据API封装反爬。
requests 请求头必须伪造且轮换
默认的 requests 发起请求时带的是类似 python-requests/2.28.1 的 User-Agent，这是最基础的识别信号。网站只要检查这个字段，就能立刻拦截。
只设一个固定 UA 不够，得轮换。用 fake_useragent 库是最省事的方案，但要注意它默认会发 HTTP 请求去拉取最新 UA 列表——这反而暴露了爬虫行为。更稳妥的做法是本地维护一份常见 UA 字符串列表，每次随机选一个：
user_agents = [
"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36",
"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.4 Safari/605.1.15",
"Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.0"
]
headers = {"User-Agent": random.choice(user_agents)}别漏掉 Referer 和 Accept-Language，这两个字段缺失或格式异常也会被风控系统打低分。例如访问某商品页前，Referer 应该是它的分类页或搜索结果页，不是空值或 https://example.com。
Selenium 启动时必须抹除自动化痕迹
开浏览器不等于安全。Selenium 默认启动的 Chrome 会在 window.navigator 里暴露 webdriver 属性为 true，还会在 chrome.runtime、cdc_ 等变量中留下调试标记——这些是检测脚本第一眼就盯上的目标。
立即学习“Python免费学习笔记（深入）”；
必须在初始化阶段用 execute_cdp_cmd 主动覆盖关键属性：
driver.execute_cdp_cmd("Page.addScriptToEvaluateOnNewDocument", {
"source": """
Object.defineProperty(navigator, 'webdriver', {get: () => undefined});
window.chrome = {runtime: {}};
Object.defineProperty(navigator, 'plugins', {get: () => [1, 2, 3, 4, 5]});
"""
})同时禁用无头模式（--headless）——现在绝大多数反自动化系统会直接拒绝无头浏览器的请求。分辨率也要设成常见值，比如 1920x1080 或 1366x768，避免出现 800x600 这种测试环境尺寸。
请求间隔不能是固定值，得模拟人类节奏
用 time.sleep(2) 是自曝身份。真实用户翻页、点击、滚动之间的时间差是高度不规则的：可能 0.8 秒后点下一个链接，也可能盯着页面看 8 秒才操作。固定间隔会被行为分析模型直接归类为机器人。
推荐用正态分布或伽马分布生成延迟时间，比均匀随机更贴近真实：
import random delay = max(0.5, random.gauss(mu=2.5, sigma=1.2)) # 均值 2.5s，标准差 1.2s
还要注意“操作链”节奏：比如打开页面 → 等待 DOM 加载 → 随机滚动一段 → 停顿 → 再找元素点击。单纯在 get() 后加 sleep 没用，页面内交互才是重点。
如果目标站有登录态，Cookie 失效时间也得留意。硬编码过期的 sessionid 会导致后续请求全部 401，看起来像脚本乱跑。
代理 IP 必须绑定会话且定期更换
用免费代理池或单个代理 IP 轮换，只是把封禁从“IP 封死”变成“IP 封得更快”。真正有效的做法是让每个代理 IP 绑定独立会话（含 Cookie、UA、行为轨迹），并且在触发验证码或响应码异常（如 403/503）时立即切换。
不要在每次请求都换代理——那样反而像扫描器。合理策略是：同一 IP 连续成功请求 15～30 次后主动轮换，或单次请求返回验证码后，立刻丢弃当前代理并重试。
代理质量比数量重要。HTTP 代理容易被识别，优先选支持 TLS 握手指纹正常的 HTTPS 代理；数据中心 IP（如 AWS、阿里云出口）比住宅 IP 更易被标记，真要稳定采集，得上高质量住宅代理。
最后一点容易被忽略：所有代理请求必须走相同 TLS 版本和加密套件，否则 SNI 或 JA3 指纹不一致，会暴露背后是不同客户端在发包。
