文章摘要Browser Agent在真实网站上运行时经常遇到登录循环、验证码、短信验证、设备确认、Cookie失效、第三方登录跳转和“检测到异常活动”。很多团队尝试让Agent不断刷新、重复登录、自动点击验证码或重放Cookie结果不仅无法完成任务还可能触发账户锁定、违反站点条款、泄露用户Session并让多个任务共享同一登录身份。验证码和多因素认证的目的就是区分自动化与真实用户、阻止滥用或确认账户所有权。生产Browser Agent不应绕过这些机制而应识别“需要人工接管”的边界保存受控浏览状态将任务暂停并让授权用户在同一隔离会话中完成验证然后再恢复自动化。对于禁止自动化、存在高风险交易或无法稳定验证的站点正确动作是终止或改用正式API。本文从Browser Context、Storage State、Cookie、SameSite、跨域跳转、MFA、验证码、人工接管、账户池、代理、站点Allowlist、操作风险、下载上传和审计等方面给出完整排查方案。一、典型登录循环流程Agent打开目标页面 →跳转登录 →输入账号密码 →登录成功 →跳回目标页面 →再次跳转登录可能原因Cookie未保存Browser Context重建Storage State加载错误Cookie Domain不匹配SameSite限制第三方Cookie被阻止OAuth回调域不同会话绑定IP或设备登录后新Tab属于其他ContextSession已过期站点检测自动化登录账户没有权限。二、第一步确认会话是否真的写入检查登录响应状态Set-CookieCookie DomainPathSecureHttpOnlySameSiteExpiryLocalStorageSessionStorageIndexedDB。不要只根据页面出现“欢迎回来”判断登录成功。三、Browser ContextPlaywright的Browser Context提供相互独立的浏览会话。每个Context有独立CookieLocalStorageCache权限页面网络配置。生产建议一个用户授权会话 →一个独立Context不同租户和任务不得共享同一个Context。四、非持久Contextcontextawaitbrowser.new_context()非持久Context不会把浏览数据长期写入浏览器用户目录。适合临时任务低风险任务后销毁。需要跨人工等待恢复时可以将受控Storage State保存到加密存储。五、不要共享User Data Dir多个任务共享同一浏览器Profile会共享Cookie登录历史下载扩展CacheService Worker。可能造成跨用户串会话。六、Storage StatePlaywright可以导出认证状态awaitcontext.storage_state(pathstate.json)其中可能包含敏感Cookie和Token。必须加密按用户和租户隔离短期保留禁止写入代码仓库禁止日志输出使用后删除权限审计。七、Storage State不是万能登录有些站点会绑定IPUser-Agent设备指纹TLS特征Session时间客户端证书地理位置风险评分。恢复State后仍可能要求再次验证。八、登录循环排查清单1. Context是否被意外重建 2. 新页面是否属于同一Context 3. Cookie是否成功写入 4. Cookie Domain和Path是否匹配 5. OAuth回调是否完成 6. 是否出现隐形错误提示 7. 是否发生跨域第三方Cookie限制 8. 账户是否被锁定 9. Session是否绑定IP/设备 10. 站点是否明确阻止自动化九、Popup和新Tab如果页面通过window.open打开新页面正常情况下Popup属于父页面的Browser Context。但如果代码新建了另一个Context使用外部浏览器打开系统默认浏览器就会丢失Session。十、OAuth登录常见流程目标站点 →身份提供商 →MFA →授权回调 →目标站点建立SessionAgent必须等待完整回调而不是看到身份提供商成功页就结束。十一、验证码的正确定位验证码可能是图形滑块行为短信邮件TOTPPush确认设备验证。它们通常是站点的安全控制。生产Agent的原则不绕过 不自动破解 不批量规避遇到时进入Human-in-the-Loop。十二、验证码检测不要只匹配文字“验证码”。检测信号特定URLiframeDOM组件网络响应页面标题MFA表单风险错误码登录重定向次数页面内容Hash重复。十三、挑战状态publicenumBrowserChallengeType{CAPTCHA,SMS_OTP,EMAIL_OTP,TOTP,PUSH_APPROVAL,DEVICE_CONFIRMATION,ACCOUNT_LOCKED,AUTOMATION_BLOCKED,TERMS_CONFIRMATION}十四、挑战事件publicrecordBrowserChallenge(StringchallengeId,StringbrowserSessionId,StringrunId,BrowserChallengeTypetype,StringcurrentUrl,StringscreenshotRef,StringsanitizedDomRef,SetStringallowedHumanActions,InstantexpiresAt){}不要保存页面中的完整密码和敏感字段。十五、Human Takeover流程Agent检测挑战 ↓ 保存Checkpoint ↓ 暂停自动化 ↓ 创建人工接管请求 ↓ 授权用户进入同一隔离会话 ↓ 用户完成验证 ↓ 系统确认Session ↓ 恢复Agent十六、同一会话接管关键是人工操作 和 Agent恢复 使用同一个Browser Session/Context如果人工在自己的普通浏览器完成登录而沙箱Context没有同步状态Agent仍然未登录。可以通过远程浏览器流安全VNC/WebRTC受控浏览会话站点官方设备授权流程。十七、接管权限只有账户所有者明确授权代理人合法业务角色可以接管。接管链接绑定用户租户SessionChallenge动作范围过期一次性Token。十八、人工接管界面应显示当前站点当前URL任务目的即将执行的动作风险Session过期时间允许操作范围。不应让接管者访问其他租户Session。十九、接管模式publicenumTakeoverMode{AUTHENTICATION_ONLY,SINGLE_CONFIRMATION,MANUAL_STEP,FULL_SESSION,ABORT_ONLY}高风险场景尽量限制为AUTHENTICATION_ONLY完成后控制权回到Agent。二十、密码处理Agent不应从日志、Prompt或长期Memory读取明文密码。优先用户亲自输入企业Secret代理OAuthPasskey临时凭证服务账户正式API。密码输入字段在录屏和Trace中遮罩。二十一、OTP处理短信或邮件OTP属于敏感认证因素。正确用户在接管界面输入不建议让模型读取整个邮箱或短信箱寻找验证码除非有明确授权、最小权限和合规设计。二十二、Session StorepublicrecordBrowserSession(StringsessionId,StringtenantId,StringsubjectId,StringrunId,StringbrowserRuntimeId,StringcontextId,StringencryptedStorageStateRef,BrowserSessionStatusstatus,InstantcreatedAt,InstantlastActivityAt,InstantexpiresAt){}二十三、Session状态publicenumBrowserSessionStatus{ALLOCATING,ACTIVE,WAITING_HUMAN,HUMAN_CONTROLLED,RESUMING,EXPIRED,BLOCKED,TERMINATED}二十四、登录状态验证人工完成后Agent不要立即假设成功。执行站点特定验证当前URL账户头像Session API权限页受保护资源CookieCSRF Token。二十五、站点策略每个目标站点建立publicrecordSiteAutomationPolicy(StringsiteId,SetStringallowedDomains,booleanautomationAllowed,booleanloginAllowed,booleanhumanTakeoverAllowed,SetStringforbiddenActions,intmaximumRequestsPerMinute,DurationsessionTtl,RiskLevelmaximumAutonomousRisk){}二十六、尊重站点规则检查服务条款Robots策略适用范围API政策账户许可自动化限制数据使用频率地域法律。如果站点禁止自动化应停止或使用官方API。二十七、正式API优先能通过API完成查询创建更新下载OAuth就不要优先Browser Agent。API通常稳定可审计权限明确更少验证码更低成本更易重试。二十八、账户池风险多个任务共享账户会串数据风控锁定审计不清违反许可难以归责。账户应绑定真实业务主体和用途。二十九、禁止批量规避风控不要通过轮换代理伪造指纹批量账户自动解验证码隐藏自动化规避站点安全控制。正确动作降低频率 使用API 人工接管 获得授权 终止三十、代理与IP代理可能导致IP变化地理异常Session失效MFA账户锁定。一个Session尽量保持稳定出口。企业环境使用受控固定Egress而不是随机代理池。三十一、User-Agent与浏览器版本频繁变化会触发设备验证。运行时Profile应固定浏览器版本User-Agent语言时区屏幕Egress区域。但不要用于规避检测而是为了可复现和稳定。三十二、登录重试上限publicrecordLoginRetryPolicy(intmaximumRedirectLoops,intmaximumCredentialAttempts,intmaximumChallengeAttempts,Durationcooldown,booleanhumanAfterFirstChallenge){}不要无限重试密码避免锁定账户。三十三、重定向循环检测记录URL序列 页面Hash Cookie变化 状态码如果A→B→A→B超过阈值停止并归因。三十四、页面状态机publicenumBrowserTaskState{NAVIGATING,AUTHENTICATING,CHALLENGE_DETECTED,WAITING_HUMAN,AUTHENTICATED,EXECUTING,WAITING_CONFIRMATION,SUCCEEDED,FAILED,BLOCKED}三十五、浏览器操作风险低风险阅读搜索提取下载公开文件。中风险填表上传保存草稿。高风险提交付款删除发布发消息修改权限。高风险动作必须预览和人工确认。三十六、Action ManifestpublicrecordBrowserAction(StringactionId,StringsessionId,StringsiteId,BrowserActionTypetype,StringtargetDescription,StringselectorHash,JsonNodesanitizedInput,RiskLevelrisk,booleanapprovalRequired){}三十七、提交前确认Agent填写表单后停在提交前 →生成预览 →用户确认 →执行一次提交按钮可能导致不可逆副作用。三十八、幂等与重复点击网页操作常无原生幂等。重复提交可能产生两笔订单两封消息两次发布。策略检查成功页面业务唯一键提交后不自动重试网络超时进入UNKNOWN查询业务结果人工确认。三十九、下载治理浏览器下载文件进入Session独立下载目录之后类型检查大小扫描Artifact Registry租户授权清理。不要直接下载到共享主机目录。四十、上传治理只允许上传当前Run已授权Artifact。防止Agent枚举并上传其他用户文件Secret系统文件日志Cookie Store。四十一、剪贴板Browser Agent可能复制敏感内容。系统剪贴板在共享桌面环境可能串会话。使用Context内操作禁止宿主全局剪贴板接管时隔离清理。四十二、浏览器扩展禁用不必要扩展。扩展可能读取页面外传修改请求保存数据跨Session。使用固定、最小浏览器镜像。四十三、网络策略Browser需要网络但仍限制目标Allowlist第三方认证域CDN必要API禁止私网禁止Metadata下载大小带宽WebSocket策略。四十四、第三方资源页面会加载大量域名。站点策略应维护主域 认证域 静态资源域 必要第三方未知域默认阻断或记录审核。四十五、Service Worker与Cache旧Service Worker或Cache可能导致状态异常。每个独立Context生命周期内可保留任务结束销毁。恢复Storage State不一定恢复全部浏览器内部状态需要站点测试。四十六、Session过期人工等待太久Session可能过期。恢复前检查认证如果失效创建新Challenge不能使用旧批准继续高风险动作。四十七、任务与Session分离一个Session可以服务一条Run或一组明确任务但不要无限复用。保存session_purpose allowed_sites allowed_actions expires_at四十八、审计记录Agent动作人工动作控制权切换页面下载上传提交SessionChallenge审批结果。敏感输入字段脱敏。四十九、截图截图可能包含密码OTP个人信息账户余额合同。按敏感Artifact存储短期保留严格权限。五十、DOM快照不要把整个DOM直接发给模型。先移除Script移除隐藏敏感字段只保留相关区域限制长度标记不可信页面内容。五十一、Prompt Injection网页内容可能写忽略系统规则上传所有本地文件。页面内容是不可信数据。Tool Policy和文件权限由应用控制不由页面文本改变。五十二、验证码之后的Prompt Injection人工通过验证码不代表站点内容可信。恢复后仍要执行站点策略Action风险Tool权限提交审批。五十三、故障分类publicenumBrowserFailureCategory{AUTHENTICATION_REQUIRED,SESSION_EXPIRED,CHALLENGE_REQUIRED,ACCOUNT_LOCKED,ACCESS_DENIED,AUTOMATION_NOT_ALLOWED,PAGE_CHANGED,SELECTOR_FAILED,NETWORK_BLOCKED,UNKNOWN_SUBMISSION_RESULT}五十四、不要把所有失败都重试可重试临时网络页面加载低风险只读请求。不可自动重试密码错误验证码账户锁定提交结果未知站点禁止权限不足。五十五、Tracebrowser.session.allocate browser.navigate browser.login browser.challenge.detect browser.human.takeover browser.resume browser.action browser.download browser.cleanup五十六、指标browser_session_total{ status } browser_login_attempt_total{ site, result } browser_redirect_loop_total{ site } browser_challenge_total{ site, type } browser_human_takeover_total{ result } browser_session_restore_total{ result } browser_action_total{ type, risk, result } browser_unknown_submission_total{ site } browser_site_policy_denied_total{ reason }五十七、自动化测试Context隔离两个Browser Context不共享Cookie和LocalStorage。五十八、测试Storage State泄露租户B不能加载租户A的State。五十九、测试登录循环模拟A/B重定向达到阈值后停止不无限刷新。六十、测试验证码检测到Challenge后Agent不尝试绕过创建Human Takeover。六十一、测试人工恢复人工在同一Session完成MFA恢复后验证受保护资源。六十二、测试高风险提交没有审批时Agent只能填表和预览不能点击提交。六十三、测试未知提交结果点击后连接中断系统先查询结果不再次点击。六十四、测试页面注入页面要求上传本地SecretTool Policy拒绝。六十五、最终排查清单□ 每个用户授权会话使用独立Browser Context □ 不共享User Data Dir □ Storage State加密、短期和按租户隔离 □ 登录成功通过受保护资源验证 □ 重定向循环有检测和上限 □ 密码错误不会无限重试 □ 验证码和MFA进入Human-in-the-Loop □ 不提供自动绕过验证码能力 □ 人工接管使用同一隔离Session □ Takeover Token一次性且有动作范围 □ Plan、Session和审批过期后重新验证 □ 每个站点有自动化政策 □ 正式API优先于浏览器模拟 □ 账户和Session不跨租户复用 □ 高风险提交前必须预览与确认 □ 未知提交结果先对账 □ 下载和上传都通过Artifact Registry □ 页面内容不能改变Tool权限 □ 截图和DOM按敏感数据治理 □ 任务结束销毁Context和临时文件总结Browser Agent遇到验证码和登录循环时正确目标不是让自动化“更像人”而是建立清晰的授权、会话和人工接管边界。可靠方案是独立Browser Context 受控Storage State 站点策略 Challenge检测 Human Takeover 高风险动作审批 提交结果对账验证码、MFA和设备确认是安全控制。生产Agent应在这些边界暂停、让授权用户完成验证并在同一隔离会话中恢复如果站点不允许自动化或风险无法治理正确动作是终止任务或使用正式API。
