第三方跟踪器加载拦截：DuckDuckGo 与普通浏览器防护的真正差距
一张截图看懂差距
打开任意带跟踪器的站点，DuckDuckGo 浏览器的盾牌面板会列出本页被拦的公司：Google、Amazon、Facebook、Comscore 之类，各自对应的跟踪请求根本没有发出。普通浏览器的"跟踪防护"多数发生在另一端——脚本已经加载、请求已经发出，只是 Cookie 被限制读写。
为什么"加载前拦截"重要
跟踪器脚本一旦被允许加载，哪怕后续限制再严，有两样东西已经交出去了：
- IP 地址：请求发出的那一刻就暴露了；
- 请求附带的标识信息：URL 参数、请求头里的各种指纹素材。
加载后限制挡住的是"对方拿这些信息继续做什么"，加载前拦截直接取消"对方收到信息"这个环节。官方把这一点作为与主流浏览器默认防护的核心差异反复强调——例如最常见的 Google Analytics，被嵌在数百万站点里，功能上是站长统计，同时也构成跨站画像的素材；在它这里这类请求默认不发。
名单从哪来
拦截由 Tracker Radar 驱动：自家爬虫持续扫描网络、分析第三方域名行为，产出公开的跟踪器名单；各端应用按名单拦截。名单本身开源，分类有争议的域名可以被公开讨论。
拦太狠把站点拦坏了怎么办
官方为此准备了几层补救：
- 替身脚本（Surrogates）：用无害的本地副本顶替被拦脚本，站点功能照常；
- 远程配置的有限例外：确认拦截会破坏登录、支付等基本功能时放行；
- 基础设施域名：不一定干跟踪活的域名按更细的规则分类处理。
怎么验证
- 挑一个新闻类站点打开；
- 点地址栏盾牌，读拦截清单里的公司名与请求计数；
- 对比其他浏览器的防护报告——多数只有 Cookie 层面的记录，看不到"未发出的请求"。