小xs1. PerimeterX PX3防护机制初探
第一次遇到PerimeterX PX3防护是在分析某电商网站时，突然发现所有请求都带上了奇怪的加密参数。这种防护不像传统验证码那样明显，而是在后台默默收集用户行为数据，通过机器学习模型判断请求是否来自真人。PX3的核心在于三重防护：动态payload加密、AST混淆代码生成、浏览器指纹校验。
我花了三天时间逆向spirit.com的请求流程，发现每个API调用都需要携带加密的_px3参数。这个参数看似简单的Base64字符串，实际是经过多层变换的复合加密结果。最有趣的是，不同浏览器、不同时间访问时，加密算法会动态调整密钥生成规则，这也是为什么直接复制参数会失效的原因。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 解密payload加密流程
2.1 基础加密层拆解
通过拦截Chrome开发者工具的网络请求，我捕获到一个典型payload：
json复制{
"do": null,
"ob": "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