网站可以获取个人信息
你打开一个购物网站，网站搜了一件T恤。可获第二天，人信你刷短视频，网站中间插的可获广告就是那件T恤。你换了个平台，人信还是网站它。这不是可获巧合。你的人信搜索词、停留时间、网站点击位置，可获甚至鼠标滑动速度，人信都被记录下来了。网站
我前阵子帮朋友看他的可获网站后台。那是人信个小型博客，日访问量不到两千。他给我看了一个插件面板，上面清清楚楚列着每个访客的IP地址、所在城市、用的什么浏览器、屏幕分辨率、从哪个链接跳进来的、在页面上停了多久。他说：“我根本没写代码去抓这些，插件默认就给了。”一个普通人搭的博客尚且如此，那些大平台能拿到什么，想想就知道。
网站获取信息的方式，最基础的是你主动填的。注册账号要邮箱、手机号，收货要地址、姓名。这些你知情。但更多东西是你没填的。浏览器每次请求一个网页，都会自动带上User-Agent，里面写着操作系统、浏览器版本。服务器一看就知道你是用iPhone还是安卓，是Chrome还是Edge。还有Referer字段，告诉对方你从哪个页面点过来的。如果你从搜索引擎跳过去，对方甚至能知道你搜了什么关键词。
Cookie是另一条路。你登录一次，网站给你发一个标识符，存在浏览器里。下次你再访问，它靠这个认出你。这本身没问题，但广告商把Cookie玩出了花。你在A网站看了一双鞋，A网站把商品ID写进Cookie，广告联盟的代码嵌在A网站页面上，顺手把同一个ID写进自己的Cookie。等你打开B网站，B网站也嵌了同一家广告联盟的代码，联盟一读Cookie，知道你对那双鞋感兴趣，立刻把鞋的广告推给你。整个过程你什么都没做，只是正常浏览。
更隐蔽的是指纹识别。就算你清了Cookie，换了IP，网站还能通过一堆参数把你认出来。屏幕分辨率、时区、安装的字体列表、显卡型号、甚至音频硬件的细微差异，组合起来能形成一个几乎唯一的标识。有个测试网站叫AmIUnique，你去跑一下就知道自己的指纹有多独特。我跑过一次，结果显示我的浏览器指纹在几百万样本里只出现过一次。这意味着什么？意味着我清不掉它。Cookie能删，指纹删不掉。
还有一类信息是你自己交出去的，但你没意识到。比如你授权某个小游戏用微信登录，它拿到了你的昵称、头像、地区。你觉得没什么。但有些App会进一步要通讯录权限、位置权限、相册权限。你点了“允许”，它就能读你存了谁的电话、去过哪里、拍了什么照片。这些数据传到服务器上，怎么用、存多久、给谁看，你一概不知。
我并不是说所有网站都在干坏事。很多数据收集是为了正常功能，比如记住你的登录状态、推荐你可能喜欢的内容。问题在于边界。你知道自己在被记录吗？你知道记录了什么吗？你知道这些记录会被卖给谁吗？大部分人的答案都是不知道。
欧盟搞了个GDPR，要求网站必须告诉你收集了什么、为什么收集、保留多久，还要给你删除的权利。加州有CCPA，类似。中国也有《个人信息保护法》。但法律是一回事，执行是另一回事。你点“同意”的时候，真的看过那几十页的隐私政策吗？我承认我没看过。我都是直接拉到底，点同意。
有个简单的办法可以看看自己暴露了多少：打开浏览器的开发者工具，切到Network标签，刷新一个网页，看每一个请求的请求头和响应头。你会看到Cookie、User-Agent、Referer、各种追踪参数。再装个Privacy Badger或者uBlock Origin，看它们拦掉了多少追踪器。我第一次看的时候，一个新闻网站首页拦了三十多个追踪脚本。三十多个。我只是想看条新闻。
网站获取个人信息这件事，不是能不能的问题，是已经发生的事实。你每一次点击、每一次滑动、每一次停留，都在留下痕迹。这些痕迹被收集、被分析、被交易。你控制不了全部，但至少可以知道发生了什么。装个拦截插件，定期清Cookie，少用第三方登录，看隐私政策的时候多扫两眼。这些动作不大，但比什么都不做强。