觀點 · 資訊分享
Cloudflare 推出 Precursor：不只驗一次，整段瀏覽行為都盯著看，揪出偽裝成真人的機器人
Cloudflare 在 7 月 13 日開始推出 Precursor，在網頁裡注入一小段 JavaScript，持續收集滑鼠、鍵盤節奏等互動訊號，用整段瀏覽過程判斷是人還是機器人。正式版推出前免費使用。
- 發布
- 2026-07-13
- 篇幅
- 約 5 分鐘 · 2,028 字
- 結構
- 9 節 + 3 題常見問題
- 標籤
一句話看懂：Cloudflare 推出 Precursor，在網頁裡放一段偵測腳本，從頭到尾觀察訪客的滑鼠與鍵盤節奏，用「整段行為」判斷是真人還是機器人，而不是只驗證一次。
先用白話講：為什麼驗證一次不夠？
想像一間需要刷卡進入的辦公大樓。門口的警衛查驗你的證件，通過就放行。問題是，如果有人偷到證件，或是偽造得夠像，進了大門之後就能在樓裡自由走動，沒人再問。
網站上的「驗證碼」或「我不是機器人」勾選框，就像門口的警衛。現代的機器人可以執行 JavaScript、用真的瀏覽器，也能通過單次驗證。Cloudflare 的看法是：真人在整段瀏覽過程中的行為很難一直裝得像。這就是 Precursor 想做的事：進了大門之後，仍然持續觀察你的行為，看是不是從頭到尾都像個人。
發生什麼事
Cloudflare 在 7 月 13 日發布部落格與更新日誌，說 Precursor 從當天開始逐步推出：
- 在你的網站回應的 HTML 中，自動注入一小段 JavaScript
- 這段腳本收集互動訊號，包含滑鼠移動、鍵盤活動、焦點變化與頁面是否可見
- 資料送回 Cloudflare 的邊緣伺服器，由多個評估器交叉比對，再整合進機器人分數
- 可以隨著行為變化，重新驗證挑戰的通行狀態
它怎麼分辨人和機器人？
Cloudflare 舉的例子是滑鼠移動：
- 真人的滑鼠軌跡受手腕與前臂活動範圍限制，常是弧線，也會有小修正與過衝，速度與節奏不固定
- 機器人常常走的是直線，或數學上很完美的曲線，點擊的精準度也不像人
單看一次動作，也許看不出差別；但看整段瀏覽過程，規律就會露出馬腳。另外，Precursor 的資料是跟著「整段瀏覽」累積的，機器人想靠重新整理頁面來洗掉行為紀錄，也沒那麼容易。
隱私怎麼處理？
官方的說法是：
- 鍵盤活動只記錄時間與節奏，不記錄實際按了哪些鍵
- 行為訊號以整體樣式評估，只在 Cloudflare 內部的機器人偵測系統使用
- 這些訊號不會出現在客戶的儀表板，也不會綁定到使用者帳號、登入身分或長期的個人檔案
以上是 Cloudflare 的自述，實際的隱私影響，仍要看你的網站隱私條款與當地法規。
給開發者的技術細節
- 在 Cloudflare 儀表板，為網站區域開啟 Precursor，並選擇驗證的嚴格程度
- 低干擾模式：只在背景觀察行為
- 嚴格模式：若訪客還沒有有效的工作階段，就強制要求 Challenge
- 整合到既有的機器人分數、挑戰判斷與 Security Rules，不需要改應用程式
- 新增 Security Analytics 的「工作階段」檢視，從單一請求改看完整的訪客流程
- 注意：官方部落格說 Precursor 是 Enterprise Bot Management 的功能（Turnstile 同屬此方案），更新日誌則說逐步對「所有客戶」推出，方案資格請以官方文件為準
價格與推出狀態
Cloudflare 的說法是，Precursor 在「正式版（GA）推出前」免費使用，GA 預計在今年稍後。有些媒體把這次寫成「正式推出」，但依 Cloudflare 自己的文字，這次是逐步推出，還不是 GA。
我的看法
對接案做網站的人來說，機器人是個越來越頭痛的問題：搶購、灌水、爬資料、撞庫，單靠驗證碼擋不太住。這種「看整段行為」的思路合理，也不需要改程式，部署成本低。
但我會先問兩個問題：第一，我的客戶方案有沒有資格用？官方文字看起來偏向企業方案。第二，網站會不會因此被誤判真人？比如使用輔助工具的人、行動不便者，他們的操作節奏本來就和一般人不同。建議先用低干擾模式觀察，確認誤判率可接受，再考慮強制驗證。隱私聲明也要同步更新，說明網站有收集這類行為資料。
名詞小辭典
- 機器人管理（Bot Management）：判斷網站流量哪些是真人、哪些是自動化程式，並決定放行或擋下。
- Turnstile：Cloudflare 的驗證服務，用來取代傳統驗證碼。
- 工作階段（Session）：一位訪客從進站到離開的一整段瀏覽過程。
- 邊緣伺服器（Edge）：Cloudflare 分布在全球、離使用者很近的伺服器。