在现代网络安全与隐私保护日益受到重视的背景下，越来越多的网站和应用开始尝试识别用户是否通过虚拟私人网络（VPN）访问其服务，对于前端开发者来说，JavaScript 作为客户端最常用的脚本语言之一，常被用于实现初步的用户行为检测逻辑，包括判断用户是否使用了 VPN，必须明确指出的是：仅靠 JavaScript 无法100%准确判断用户是否使用了 VPN,但可以结合多种技术手段进行高概率识别。
我们需要理解什么是“使用了 VPN”，当用户连接到一个远程服务器（即 VPN 服务器）时，其公网 IP 地址会变为该服务器的 IP，而不再是本地 ISP 分配的真实 IP，这使得用户的地理位置、ISP 信息等暴露在外的元数据发生改变。
JavaScript 能做什么呢？
获取客户端公网 IP 地址
使用 fetch('https://api.ipify.org') 或类似第三方 API 可以获取用户当前对外可见的 IP 地址，如果这个 IP 与用户本地运营商提供的 IP 不一致（可通过浏览器的 navigator.connection 几乎无法直接获得）,则可能说明用户使用了代理或隧道服务。
检测用户代理与浏览器指纹差异
某些高级的 JavaScript 库（如 FingerprintJS）可以收集浏览器环境信息（Canvas 渲染、WebGL、字体列表、时区、插件等），若这些信息与已知的常见公网 IP 所属区域不匹配（IP 在德国，但浏览器语言是中文且时区为东八区）,则可能暗示用户正在使用异地代理。
分析网络延迟与 DNS 解析时间
使用 performance.now() 和 fetch 请求测试不同 CDN 节点的响应时间，如果响应异常快或慢于正常范围，可能表示流量经过了中间节点（如某些商业级 VPN 服务）。
检查 HTTP 头部信息
虽然 JavaScript 无法直接读取请求头（出于安全考虑），但可以通过发送一个包含特殊标识的请求，并观察服务端收到的 X-Forwarded-For、CF-Connecting-IP 等字段来反推是否经过代理，Cloudflare 提供的 headers 中包含了真实来源 IP,可用于对比。
利用 WebRTC 漏洞探测本地 IP（谨慎使用）
这是一个有争议的方法：WebRTC 可能泄露用户内网 IP，即使用户使用了外网 IP 的 VPN，JavaScript 可调用 RTCPeerConnection 创建一个连接并触发 ICE 候选者，从中提取本地地址，但此方法在现代浏览器中已被限制（如 Chrome 默认关闭 WebRTC 的内网地址泄露）,因此可靠性下降。
⚠️ 重要提醒：
JavaScript 可以作为“辅助判断工具”，帮助网站识别潜在的高风险访问行为（如大量来自同一匿名 IP 的请求），但不能替代后端深度分析（如 IP 行为日志、设备指纹、行为模式建模），真正有效的防伪策略应是前后端协同，结合多维度数据综合评估，而非依赖单一前端脚本，作为网络工程师，我们应秉持“合理使用、尊重隐私”的原则,构建既安全又公平的在线体验。
