• Cloudflare 自有信号优先用 request.cf.botManagement：认证机器人直接判定为机器人；评分低于 30 判机器人，30–60 计风险分。
• UA 特征命中爬虫关键字（bot / spider / curl / python-requests / puppeteer / playwright / selenium / 各家 AI 爬虫 …）或无头浏览器（HeadlessChrome、Electron）即判定。
• 浏览器指纹navigator.webdriver = true、视口 0×0 属强信号。
• 行为信号停留 <0.8 秒且滚动深度为 0、全程无鼠标/键盘/点击 → 加风险分，不单独判定。
• ASN / 机房来源 ASN 命中 AWS、GCP、Azure、DigitalOcean、OVH、Hetzner、Vultr、阿里云、腾讯云等机房网络 → 加风险分；住宅宽带用户通常不会命中。
• 合成规则命中任一硬信号（认证机器人 / 爬虫 UA / webdriver / 低 CF 评分）→ 机器人；否则风险分 ≥ 60 → 机器人。风险 70+ 显示「机器人」，60–69 显示「疑似机器人」。
• 隐私不存原始 IP：用 SHA-256 + 站点密钥做哈希后只留前 22 位；不落 Cookie 追踪，访客标识只存在访客自己浏览器的 localStorage 里。

联调时产生的测试访问会混进报表。这里可以按时间点删掉记录，不影响站点内容与采集库。

清空全部埋点数据