如何用假数据投毒反制恶意采集站？

结论：反制恶意采集站最靠谱的「假数据投毒」，不是编造误导性内容，而是给每个可疑采集者下发独一份的可追踪假内容——隐藏蜜罐链接 + 唯一水印编号 + 动态篡改的正文片段，让采集站抓走的是「带指纹的证据」，而真实用户和正规搜索引擎看到的仍是原文。

哪些流量才该投毒？

结论：只对已确认的恶意采集器投毒，绝不对普通用户和搜索引擎爬虫动手。

判定可以用四条硬指标叠加，命中两条以上再进投毒池：① User-Agent 为空，或包含 scrapy、python-requests、curl、wget、Go-http-client 等字样；② 同一 IP 60 秒内请求超过 30 次；③ 不请求 css/js/图片等静态资源，只薅 HTML；④ 请求头缺少 Referer 和 Accept-Language。

搜索引擎爬虫必须做反向 DNS 验证：Googlebot 的 IP 反查结果要落在 googlebot.com 或 googleusercontent.com 域内，Baiduspider 要落在 baidu.com。验证不过的一律按采集器处理。误伤 Googlebot 的代价是整站收录清零，远大于防住几个采集站。

三种投毒手法，具体怎么落地？

结论：蜜罐用来看清谁在爬，水印用来溯源，动态假数据用来让对方抓走的内容失去价值。

蜜罐链接：在页面里插一个 display:none 的链接，正常用户看不见，采集器会无脑跟进。命中 /trap-xxxx 路径的 IP 直接进黑名单：

<a href="/trap-7f3a" style="display:none" rel="nofollow">更多</a>

唯一水印：每次响应在正文尾部插入一行肉眼可见的短编号，例如「本文编号 7f3a-20240815」。采集站整站搬运后，你直接搜这个编号就能列出所有转载页，一条编号对应一个采集 IP，取证成本几乎为零。

动态假数据：对命中规则的 UA 返回篡改版正文——把关键数字加 1、把品牌名替换成对方站点名，或在段首插入「本文首发于 example.com，当前页面为未授权转载」。Nginx 层就能做：

map $http_user_agent $bad {
    default 0;
    "~*(scrapy|python-requests|curl|wget|Go-http-client)" 1;
    "" 1;
}

更稳的做法是在应用层按 session 生成唯一内容，因为纯 UA 匹配几行代码就能伪造。

投毒的边界在哪里？

结论：不要投医学、法律、金融、安全类的虚假事实，优先投「无害追踪标记」。

原因很实在：采集站会把内容二次分发，你伪造的「某药剂量翻倍」「某条法规已废止」会真的被读者看到并采信，性质就从维权变成了造谣，反过来要担责。安全的选择只有两类——追踪标记（编号、隐藏链接），以及明示性的替换文案（「本页为盗版采集，原文见 xxx」）。

另一条红线是别对搜索引擎投毒。对搜索爬虫返回与用户不同的内容属于 cloaking（伪装），Google 明确列为违规，处罚是整站降权，得不偿失。

光投毒够吗？

结论：投毒只解决「取证」，真正的反制靠证据链加投诉。

至少做三件事：① Nginx access log 保留 30 天以上，作为采集 IP 和时间的原始证据；② 用带时间戳的截图或区块链存证平台固定对方页面；③ 按顺序走 DMCA 投诉、对方主机商 abuse 邮箱举报、ICP 备案主体所在地的版权投诉、以及搜索引擎的侵权内容下架通道。国内站点还可以向中国互联网举报中心（12377）提交。

投入产出比怎么算

结论：中小站点按「蜜罐 + 水印」两件套起步，投入约 2 小时，能覆盖 80% 的低成本采集器。

如果对方是分布式爬虫或纯人工搬运，投毒效果有限，这时把重心放到版权投诉和内容差异化（提前发布、加原创图表）上更划算。定期只统计一个指标就够：搜索结果里带你的水印编号的页面数量，连续三周下降说明反制生效。

总结一句：投毒的本质是让采集的内容「自带追踪标签」，而不是制造会伤害真实读者的假信息；先靠 robots.txt 和反查 DNS 划清打击范围，再用蜜罐加唯一编号固定证据，最后用投诉渠道收口，这套组合拳对中小站点成本最低、风险最小。